@shiftleftpt/sbd-toe-mcp 0.10.3 → 0.11.0

package/data/publish/runtime/artifact_requirements.json

@@ -6,6 +6,7 @@
     {
       "artifact_type_id": "ART-access-review-e0648977e7",
       "chapter_ids": [
+        "02-requisitos-seguranca",
         "04-arquitetura-segura",
         "08-iac-infraestrutura",
         "09-containers-imagens",
@@ -13,54 +14,25 @@
         "14-governanca-contratacao"
       ],
       "confidence": null,
-      "description": "Access Review must be produced and retained as auditable evidence for practices such as Enforcement automático de políticas, Gestão de segredos e identidades para IaC, Janela de mudança e aprovações por papel.",
+      "description": "Access Review must be produced and retained as auditable evidence for practices such as Janela de mudança e aprovações por papel, Segregação de ambientes, tagging e permissões mínimas, RBAC Mínimo e ServiceAccounts Dedicadas.",
       "evidence": [
         "control CTRL-identity-gestao-de-identidades-acessos-e-ownership-d0919c69af references access_review",
+        "control CTRL-identity-identidade-autenticacao-e-sessoes-aplicacionais-c9d3f51e82 references access_review",
         "corpus document 010-sbd-manual/04-arquitetura-segura/canon/25-rastreabilidade.md matched aliases ['access review']"
       ],
       "mandatory": true,
       "requirement_id": "REQ-access-000",
       "source_control_ids": [
-        "CTRL-identity-gestao-de-identidades-acessos-e-ownership-d0919c69af"
+        "CTRL-identity-gestao-de-identidades-acessos-e-ownership-d0919c69af",
+        "CTRL-identity-identidade-autenticacao-e-sessoes-aplicacionais-c9d3f51e82"
       ],
       "source_practice_ids": [
-        "08-iac-infraestrutura:enforcement-automatico-de-politicas",
-        "08-iac-infraestrutura:gestao-de-segredos-e-identidades-para-iac",
         "08-iac-infraestrutura:janela-de-mudanca-e-aprovacoes-por-papel",
-        "08-iac-infraestrutura:rastreabilidade-ficheiro-recurso-ambiente",
-        "08-iac-infraestrutura:rastreabilidade-versionamento-e-naming",
-        "08-iac-infraestrutura:rollback-e-salvaguarda-de-destroy",
         "08-iac-infraestrutura:segregacao-de-ambientes-tagging-e-permissoes-minimas",
-        "09-containers-imagens:builders-e-runners-ephemerais-assinados-e-com-auditoria",
-        "09-containers-imagens:construcao-de-imagens-a-partir-de-bases-seguras-minimalistas-e-pinned-por-digest",
-        "09-containers-imagens:excecoes-temporarias-a-findings-policies-com-ttl-compensacoes-e-revalidacao",
-        "09-containers-imagens:governacao-de-registries-com-allowlist-e-digest-only",
-        "09-containers-imagens:isolamento-de-gpu-e-separacao-de-workloads-de-inferencia-sensiveis",
-        "09-containers-imagens:perfis-seccomp-apparmor-e-verificacao-de-drift-de-hardening",
-        "09-containers-imagens:promocao-por-estagios-com-aprovacao-explicita-e-revalidacao-por-ambiente",
         "09-containers-imagens:rbac-minimo-e-serviceaccounts-dedicadas",
-        "09-containers-imagens:retencao-e-limpeza-de-imagens-com-renovacao-periodica-por-sla",
-        "09-containers-imagens:sandboxing-avancado-com-gvisor-kata-para-workloads-criticas",
-        "09-containers-imagens:validacao-automatica-de-vulnerabilidades-em-imagens-no-pipeline-ci-cd",
-        "11-deploy-seguro:controlo-e-validacao-de-drift-operacional",
-        "11-deploy-seguro:evidencia-operacional-auditavel",
-        "11-deploy-seguro:rastreabilidade-end-to-end",
-        "11-deploy-seguro:release-gates-especificos-para-sistemas-com-agentes-ai-us-18",
-        "11-deploy-seguro:reprodutibilidade-de-incidentes-em-runtime",
         "11-deploy-seguro:separacao-entre-acao-automatica-e-autorizacao-irreversivel",
-        "11-deploy-seguro:versionamento-semantico-e-changelog-tecnico",
-        "14-governanca-contratacao:aprovacao-formal-e-auditoria-periodica-das-politicas-organizacionais-us-22",
-        "14-governanca-contratacao:ciclo-continuo-de-revisao-e-reavaliacao-de-excecoes",
-        "14-governanca-contratacao:controlo-sistematico-e-periodico-por-capitulo-sbd-toe",
-        "14-governanca-contratacao:designacao-formal-de-owners-de-seguranca-por-aplicacao",
-        "14-governanca-contratacao:formalizacao-de-modelo-de-governacao-por-nivel-de-risco",
         "14-governanca-contratacao:preparacao-tecnica-e-validacao-de-contractors-pre-acesso",
-        "14-governanca-contratacao:processo-formal-de-excecoes-com-alcadas-por-nivel-de-risco",
-        "14-governanca-contratacao:rastreabilidade-organizacional",
-        "14-governanca-contratacao:repositorio-de-conformidade-por-aplicacao-controlo-sistematico",
-        "14-governanca-contratacao:revisao-trimestral-de-acesso-de-contractors-least-privilege",
-        "14-governanca-contratacao:trilho-de-formacao-obrigatoria-pre-acesso-contractors",
-        "14-governanca-contratacao:validacao-periodica-de-aplicacoes-ciclo-de-conformidade"
+        "14-governanca-contratacao:revisao-trimestral-de-acesso-de-contractors-least-privilege"
       ],
       "warnings": []
     },
@@ -84,7 +56,7 @@
         "14-governanca-contratacao"
       ],
       "confidence": null,
-      "description": "Alert Policy must be produced and retained as auditable evidence for practices such as Definição de critérios de validação, Geração de SBOM e assinatura de artefactos de build, Gestão de Exceções com TTL e Revalidação Obrigatória.",
+      "description": "Alert Policy must be produced and retained as auditable evidence for practices such as Geração de SBOM e assinatura de artefactos de build, Incorporação de restrições legais, normativas e contratuais, AI BOM e gestão de *providers* de modelos AI {#us 14}.",
       "evidence": [
         "control CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460 references alert_policy",
         "control CTRL-governance-governacao-de-fornecedores-e-excecoes-a9a9ab3628 references alert_policy",
@@ -103,14 +75,8 @@
         "CTRL-supply-chain-supply-chain-segura-de-imagens-e-containers-8a8af25a4d"
       ],
       "source_practice_ids": [
-        "02-requisitos-seguranca:definicao-de-criterios-de-validacao",
         "02-requisitos-seguranca:geracao-de-sbom-e-assinatura-de-artefactos-de-build",
-        "02-requisitos-seguranca:gestao-de-excecoes-com-ttl-e-revalidacao-obrigatoria",
         "02-requisitos-seguranca:incorporacao-de-restricoes-legais-normativas-e-contratuais",
-        "02-requisitos-seguranca:validacao-de-cobertura-de-testes",
-        "02-requisitos-seguranca:validacao-de-tags-sec-lx-e-requisitos-no-pipeline",
-        "02-requisitos-seguranca:validacao-e-aprovacao-final",
-        "02-requisitos-seguranca:validacao-por-requisito-dominio-req-xxx-evidencia",
         "05-dependencias-sbom-sca:ai-bom-e-gestao-de-providers-de-modelos-ai-us-14",
         "05-dependencias-sbom-sca:alertas-sobre-vulnerabilidades-em-componentes-usados",
         "05-dependencias-sbom-sca:auditoria-periodica-de-bibliotecas-copiadas-manualmente",
@@ -136,35 +102,48 @@
         "06-desenvolvimento-seguro:guidelines-de-desenvolvimento-seguro",
         "06-desenvolvimento-seguro:monitorizacao-de-conformidade-e-metricas-de-seguranca",
         "06-desenvolvimento-seguro:perfis-de-validacao-por-nivel-de-risco-l1l3",
-        "06-desenvolvimento-seguro:prompts-e-outputs-de-genai-sob-disciplina-de-codigo",
         "06-desenvolvimento-seguro:proveniencia-e-quality-gate-com-baseline-aprovada",
         "06-desenvolvimento-seguro:rastreabilidade-com-anotacoes-de-seguranca",
         "06-desenvolvimento-seguro:revisao-de-codigo-segura",
-        "06-desenvolvimento-seguro:uso-validado-de-genia",
         "06-desenvolvimento-seguro:validacao-de-padroes-perigosos-e-anti-patterns",
         "06-desenvolvimento-seguro:validacoes-locais-obrigatorias-pre-commit",
         "09-containers-imagens:aplicacao-de-politicas-formais-de-seguranca-no-runtime-com-opa-kyverno",
         "09-containers-imagens:aprovacao-depreciacao-e-revogacao-de-golden-base-images-catalogo-organizacional",
         "09-containers-imagens:assinatura-e-verificacao-de-proveniencia-de-imagens-com-cosign-e-rekor",
+        "09-containers-imagens:builders-e-runners-ephemerais-assinados-e-com-auditoria",
+        "09-containers-imagens:construcao-de-imagens-a-partir-de-bases-seguras-minimalistas-e-pinned-por-digest",
         "09-containers-imagens:enforcement-centralizado-e-auditavel-de-politicas-no-runtime",
+        "09-containers-imagens:excecoes-temporarias-a-findings-policies-com-ttl-compensacoes-e-revalidacao",
         "09-containers-imagens:geracao-e-rastreabilidade-de-sbom-em-imagens",
         "09-containers-imagens:golden-base-images-com-patching-automatico",
+        "09-containers-imagens:governacao-de-registries-com-allowlist-e-digest-only",
         "09-containers-imagens:hardening-da-api-e-do-container-de-inferencia-ai",
+        "09-containers-imagens:isolamento-de-gpu-e-separacao-de-workloads-de-inferencia-sensiveis",
         "09-containers-imagens:monitorizacao-e-resposta-a-incidentes-em-runtime",
+        "09-containers-imagens:perfis-seccomp-apparmor-e-verificacao-de-drift-de-hardening",
         "09-containers-imagens:pesos-de-modelo-ai-self-hosted-tratados-como-ativo-critico",
+        "09-containers-imagens:promocao-por-estagios-com-aprovacao-explicita-e-revalidacao-por-ambiente",
+        "09-containers-imagens:retencao-e-limpeza-de-imagens-com-renovacao-periodica-por-sla",
+        "09-containers-imagens:sandboxing-avancado-com-gvisor-kata-para-workloads-criticas",
         "09-containers-imagens:segmentacao-de-rede-e-networkpolicy",
+        "09-containers-imagens:validacao-automatica-de-vulnerabilidades-em-imagens-no-pipeline-ci-cd",
         "11-deploy-seguro:controlo-de-execucao-com-feature-flags",
+        "11-deploy-seguro:controlo-e-validacao-de-drift-operacional",
         "11-deploy-seguro:deploy-apenas-de-artefactos-assinados",
         "11-deploy-seguro:deploy-progressivo-com-estrategias-canary-blue-green",
+        "11-deploy-seguro:evidencia-operacional-auditavel",
         "11-deploy-seguro:feature-flags-avaliadas-no-backend-como-fronteira-de-confianca",
         "11-deploy-seguro:gates-de-aprovacao-no-deploy",
         "11-deploy-seguro:monitorizacao-pos-deploy",
+        "11-deploy-seguro:rastreabilidade-end-to-end",
+        "11-deploy-seguro:release-gates-especificos-para-sistemas-com-agentes-ai-us-18",
         "11-deploy-seguro:reprodutibilidade-de-incidentes-em-runtime",
         "11-deploy-seguro:rollback-estruturado-por-tipo-binario-configuracao-bd-infra",
         "11-deploy-seguro:rollback-rapido-e-testado",
         "11-deploy-seguro:validacao-em-staging-antes-da-promocao",
         "11-deploy-seguro:validacao-humana-obrigatoria-apos-deploy-automatizado",
         "11-deploy-seguro:validacoes-tecnicas-pre-deploy-com-gates-condicionais",
+        "11-deploy-seguro:versionamento-semantico-e-changelog-tecnico",
         "12-monitorizacao-operacoes:alertas-com-slas-definidos",
         "12-monitorizacao-operacoes:classificacao-e-cobertura-de-dominios-de-monitorizacao",
         "12-monitorizacao-operacoes:cobertura-att-ck-e-priorizacao-epss-kev",
@@ -183,14 +162,14 @@
         "12-monitorizacao-operacoes:seguranca-e-integridade-de-logs",
         "12-monitorizacao-operacoes:telemetria-de-agentes-ai-em-producao-us-13",
         "12-monitorizacao-operacoes:validacao-e-tuning-de-alertas",
+        "14-governanca-contratacao:ciclo-continuo-de-revisao-e-reavaliacao-de-excecoes",
         "14-governanca-contratacao:clausulas-contratuais-de-seguranca",
-        "14-governanca-contratacao:consolidacao-de-kpis-de-governacao-e-maturidade",
         "14-governanca-contratacao:contratacao-de-provedores-de-modelos-ai-us-21",
         "14-governanca-contratacao:execucao-de-fluxo-formal-de-validacao-de-fornecedores",
         "14-governanca-contratacao:feedback-pos-projeto-e-rating-de-contractors",
-        "14-governanca-contratacao:kpis-de-governacao",
         "14-governanca-contratacao:monitorizacao-continua-de-conformidade-de-fornecedores-alertas-e-escalacao",
         "14-governanca-contratacao:offboarding-seguro-de-contractors-e-rescisao-de-fornecedores",
+        "14-governanca-contratacao:processo-formal-de-excecoes-com-alcadas-por-nivel-de-risco",
         "14-governanca-contratacao:reavaliacao-continua-e-rotacao-de-fornecedores-pos-onboarding",
         "14-governanca-contratacao:validacao-continua-de-fornecedores"
       ],
@@ -216,63 +195,47 @@
         "14-governanca-contratacao"
       ],
       "confidence": null,
-      "description": "Approval Record must be produced and retained as auditable evidence for practices such as Produção e manutenção do inventário central com autoridade de aprovação proporcional, Validação e aprovação final, Aprovação formal do Threat Model (baseline e revisões).",
+      "description": "Approval Record must be produced and retained as auditable evidence for practices such as Produção e manutenção do inventário central com autoridade de aprovação proporcional, Uso controlado de assistentes automatizados (incluindo IA) no desenvolvimento, Validação e aprovação final.",
       "evidence": [
+        "control CTRL-code-integrity-ambiente-e-tooling-de-desenvolvimento-governados-77015fa38a references approval_record",
+        "control CTRL-governance-governacao-organizacional-ownership-e-conformidade-761d416ead references approval_record",
         "control CTRL-identity-gestao-de-identidades-acessos-e-ownership-d0919c69af references approval_record",
         "practice 01-classificacao-aplicacoes:producao-e-manutencao-do-inventario-central-com-autoridade-de-aprovacao-proporcional matched alias 'aprovacao'",
-        "practice 02-requisitos-seguranca:validacao-e-aprovacao-final matched alias 'aprovacao'",
-        "practice 03-threat-modeling:aprovacao-formal-do-threat-model-baseline-e-revisoes matched alias 'aprovacao'",
-        "practice 05-dependencias-sbom-sca:governacao-documentada-de-politica-de-severidade-registries-e-registo-de-aprovacao matched alias 'registo de aprovacao'"
+        "practice 02-requisitos-seguranca:validacao-e-aprovacao-final matched alias 'aprovacao'"
       ],
       "mandatory": true,
       "requirement_id": "REQ-approval-000",
       "source_control_ids": [
+        "CTRL-code-integrity-ambiente-e-tooling-de-desenvolvimento-governados-77015fa38a",
+        "CTRL-governance-governacao-organizacional-ownership-e-conformidade-761d416ead",
         "CTRL-identity-gestao-de-identidades-acessos-e-ownership-d0919c69af"
       ],
       "source_practice_ids": [
         "01-classificacao-aplicacoes:producao-e-manutencao-do-inventario-central-com-autoridade-de-aprovacao-proporcional",
+        "02-requisitos-seguranca:uso-controlado-de-assistentes-automatizados-incluindo-ia-no-desenvolvimento",
         "02-requisitos-seguranca:validacao-e-aprovacao-final",
         "03-threat-modeling:aprovacao-formal-do-threat-model-baseline-e-revisoes",
         "05-dependencias-sbom-sca:governacao-documentada-de-politica-de-severidade-registries-e-registo-de-aprovacao",
         "05-dependencias-sbom-sca:validacao-de-release-go-no-go",
-        "08-iac-infraestrutura:enforcement-automatico-de-politicas",
-        "08-iac-infraestrutura:gestao-de-segredos-e-identidades-para-iac",
+        "06-desenvolvimento-seguro:prompts-e-outputs-de-genai-sob-disciplina-de-codigo",
+        "06-desenvolvimento-seguro:uso-validado-de-genia",
         "08-iac-infraestrutura:janela-de-mudanca-e-aprovacoes-por-papel",
-        "08-iac-infraestrutura:rastreabilidade-ficheiro-recurso-ambiente",
-        "08-iac-infraestrutura:rastreabilidade-versionamento-e-naming",
-        "08-iac-infraestrutura:rollback-e-salvaguarda-de-destroy",
         "08-iac-infraestrutura:segregacao-de-ambientes-tagging-e-permissoes-minimas",
         "09-containers-imagens:aprovacao-depreciacao-e-revogacao-de-golden-base-images-catalogo-organizacional",
-        "09-containers-imagens:builders-e-runners-ephemerais-assinados-e-com-auditoria",
-        "09-containers-imagens:construcao-de-imagens-a-partir-de-bases-seguras-minimalistas-e-pinned-por-digest",
-        "09-containers-imagens:excecoes-temporarias-a-findings-policies-com-ttl-compensacoes-e-revalidacao",
-        "09-containers-imagens:governacao-de-registries-com-allowlist-e-digest-only",
-        "09-containers-imagens:isolamento-de-gpu-e-separacao-de-workloads-de-inferencia-sensiveis",
-        "09-containers-imagens:perfis-seccomp-apparmor-e-verificacao-de-drift-de-hardening",
         "09-containers-imagens:promocao-por-estagios-com-aprovacao-explicita-e-revalidacao-por-ambiente",
         "09-containers-imagens:rbac-minimo-e-serviceaccounts-dedicadas",
-        "09-containers-imagens:retencao-e-limpeza-de-imagens-com-renovacao-periodica-por-sla",
-        "09-containers-imagens:sandboxing-avancado-com-gvisor-kata-para-workloads-criticas",
-        "09-containers-imagens:validacao-automatica-de-vulnerabilidades-em-imagens-no-pipeline-ci-cd",
-        "11-deploy-seguro:controlo-e-validacao-de-drift-operacional",
-        "11-deploy-seguro:evidencia-operacional-auditavel",
         "11-deploy-seguro:gates-de-aprovacao-no-deploy",
-        "11-deploy-seguro:rastreabilidade-end-to-end",
-        "11-deploy-seguro:release-gates-especificos-para-sistemas-com-agentes-ai-us-18",
-        "11-deploy-seguro:reprodutibilidade-de-incidentes-em-runtime",
         "11-deploy-seguro:separacao-entre-acao-automatica-e-autorizacao-irreversivel",
-        "11-deploy-seguro:versionamento-semantico-e-changelog-tecnico",
         "14-governanca-contratacao:aprovacao-formal-e-auditoria-periodica-das-politicas-organizacionais-us-22",
-        "14-governanca-contratacao:ciclo-continuo-de-revisao-e-reavaliacao-de-excecoes",
+        "14-governanca-contratacao:consolidacao-de-kpis-de-governacao-e-maturidade",
         "14-governanca-contratacao:controlo-sistematico-e-periodico-por-capitulo-sbd-toe",
         "14-governanca-contratacao:designacao-formal-de-owners-de-seguranca-por-aplicacao",
         "14-governanca-contratacao:formalizacao-de-modelo-de-governacao-por-nivel-de-risco",
+        "14-governanca-contratacao:kpis-de-governacao",
         "14-governanca-contratacao:preparacao-tecnica-e-validacao-de-contractors-pre-acesso",
-        "14-governanca-contratacao:processo-formal-de-excecoes-com-alcadas-por-nivel-de-risco",
         "14-governanca-contratacao:rastreabilidade-organizacional",
         "14-governanca-contratacao:repositorio-de-conformidade-por-aplicacao-controlo-sistematico",
         "14-governanca-contratacao:revisao-trimestral-de-acesso-de-contractors-least-privilege",
-        "14-governanca-contratacao:trilho-de-formacao-obrigatoria-pre-acesso-contractors",
         "14-governanca-contratacao:validacao-periodica-de-aplicacoes-ciclo-de-conformidade"
       ],
       "warnings": []
@@ -464,36 +427,28 @@
         "14-governanca-contratacao"
       ],
       "confidence": null,
-      "description": "Artifact Provenance must be produced and retained as auditable evidence for practices such as Catálogo de requisitos do projeto (criação e manutenção), Classificação do tipo de controlo na matriz de rastreabilidade, Definição de critérios de validação.",
+      "description": "Artifact Provenance must be produced and retained as auditable evidence for practices such as Classificação do tipo de controlo na matriz de rastreabilidade, Geração de SBOM e assinatura de artefactos de build, Rastreabilidade de requisitos.",
       "evidence": [
         "control CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460 references artifact_provenance",
         "control CTRL-code-integrity-integridade-e-governacao-de-pipelines-d5b14eeef2 references artifact_provenance",
-        "control CTRL-identity-gestao-de-identidades-acessos-e-ownership-d0919c69af references artifact_provenance",
         "control CTRL-infrastructure-deploy-seguro-e-reversivel-ae204be5f0 references artifact_provenance",
-        "control CTRL-infrastructure-infraestrutura-como-codigo-governada-5228bca905 references artifact_provenance"
+        "control CTRL-infrastructure-infraestrutura-como-codigo-governada-5228bca905 references artifact_provenance",
+        "control CTRL-supply-chain-inventario-e-analise-de-dependencias-6b0fd9f7fb references artifact_provenance"
       ],
       "mandatory": true,
       "requirement_id": "REQ-artifact-000",
       "source_control_ids": [
         "CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460",
         "CTRL-code-integrity-integridade-e-governacao-de-pipelines-d5b14eeef2",
-        "CTRL-identity-gestao-de-identidades-acessos-e-ownership-d0919c69af",
         "CTRL-infrastructure-deploy-seguro-e-reversivel-ae204be5f0",
         "CTRL-infrastructure-infraestrutura-como-codigo-governada-5228bca905",
         "CTRL-supply-chain-inventario-e-analise-de-dependencias-6b0fd9f7fb",
         "CTRL-supply-chain-supply-chain-segura-de-imagens-e-containers-8a8af25a4d"
       ],
       "source_practice_ids": [
-        "02-requisitos-seguranca:catalogo-de-requisitos-do-projeto-criacao-e-manutencao",
         "02-requisitos-seguranca:classificacao-do-tipo-de-controlo-na-matriz-de-rastreabilidade",
-        "02-requisitos-seguranca:definicao-de-criterios-de-validacao",
         "02-requisitos-seguranca:geracao-de-sbom-e-assinatura-de-artefactos-de-build",
-        "02-requisitos-seguranca:gestao-de-excecoes-com-ttl-e-revalidacao-obrigatoria",
         "02-requisitos-seguranca:rastreabilidade-de-requisitos",
-        "02-requisitos-seguranca:validacao-de-cobertura-de-testes",
-        "02-requisitos-seguranca:validacao-de-tags-sec-lx-e-requisitos-no-pipeline",
-        "02-requisitos-seguranca:validacao-e-aprovacao-final",
-        "02-requisitos-seguranca:validacao-por-requisito-dominio-req-xxx-evidencia",
         "04-arquitetura-segura:ficha-de-solucao-com-controlos-e-rastreabilidade-arquitetural",
         "05-dependencias-sbom-sca:ai-bom-e-gestao-de-providers-de-modelos-ai-us-14",
         "05-dependencias-sbom-sca:alertas-sobre-vulnerabilidades-em-componentes-usados",
@@ -520,11 +475,9 @@
         "06-desenvolvimento-seguro:guidelines-de-desenvolvimento-seguro",
         "06-desenvolvimento-seguro:monitorizacao-de-conformidade-e-metricas-de-seguranca",
         "06-desenvolvimento-seguro:perfis-de-validacao-por-nivel-de-risco-l1l3",
-        "06-desenvolvimento-seguro:prompts-e-outputs-de-genai-sob-disciplina-de-codigo",
         "06-desenvolvimento-seguro:proveniencia-e-quality-gate-com-baseline-aprovada",
         "06-desenvolvimento-seguro:rastreabilidade-com-anotacoes-de-seguranca",
         "06-desenvolvimento-seguro:revisao-de-codigo-segura",
-        "06-desenvolvimento-seguro:uso-validado-de-genia",
         "06-desenvolvimento-seguro:validacao-de-padroes-perigosos-e-anti-patterns",
         "06-desenvolvimento-seguro:validacoes-locais-obrigatorias-pre-commit",
         "07-cicd-seguro:agentes-ai-como-principals-na-pipeline-us-19",
@@ -555,9 +508,7 @@
         "08-iac-infraestrutura:determinismo-e-reprodutibilidade-do-plan",
         "08-iac-infraestrutura:enforcement-automatico-de-politicas",
         "08-iac-infraestrutura:excecoes-formais-em-iac",
-        "08-iac-infraestrutura:gestao-de-segredos-e-identidades-para-iac",
         "08-iac-infraestrutura:governanca-e-origem-confiavel-de-modulos",
-        "08-iac-infraestrutura:janela-de-mudanca-e-aprovacoes-por-papel",
         "08-iac-infraestrutura:minimizacao-de-contexto-e-protecao-de-informacao-sensivel-em-iac",
         "08-iac-infraestrutura:proibicao-de-apply-manual-local-fora-do-pipeline",
         "08-iac-infraestrutura:rastreabilidade-ficheiro-recurso-ambiente",
@@ -565,7 +516,6 @@
         "08-iac-infraestrutura:reabertura-da-revisao-de-hardening-por-integridade-do-baseline",
         "08-iac-infraestrutura:revisao-formal-de-plan-antes-de-apply",
         "08-iac-infraestrutura:rollback-e-salvaguarda-de-destroy",
-        "08-iac-infraestrutura:segregacao-de-ambientes-tagging-e-permissoes-minimas",
         "08-iac-infraestrutura:separacao-de-funcoes-sod-e-controlo-de-execucao-de-apply",
         "08-iac-infraestrutura:validacoes-automaticas-integradas",
         "09-containers-imagens:aplicacao-de-politicas-formais-de-seguranca-no-runtime-com-opa-kyverno",
@@ -584,7 +534,6 @@
         "09-containers-imagens:perfis-seccomp-apparmor-e-verificacao-de-drift-de-hardening",
         "09-containers-imagens:pesos-de-modelo-ai-self-hosted-tratados-como-ativo-critico",
         "09-containers-imagens:promocao-por-estagios-com-aprovacao-explicita-e-revalidacao-por-ambiente",
-        "09-containers-imagens:rbac-minimo-e-serviceaccounts-dedicadas",
         "09-containers-imagens:retencao-e-limpeza-de-imagens-com-renovacao-periodica-por-sla",
         "09-containers-imagens:sandboxing-avancado-com-gvisor-kata-para-workloads-criticas",
         "09-containers-imagens:segmentacao-de-rede-e-networkpolicy",
@@ -602,7 +551,6 @@
         "11-deploy-seguro:reprodutibilidade-de-incidentes-em-runtime",
         "11-deploy-seguro:rollback-estruturado-por-tipo-binario-configuracao-bd-infra",
         "11-deploy-seguro:rollback-rapido-e-testado",
-        "11-deploy-seguro:separacao-entre-acao-automatica-e-autorizacao-irreversivel",
         "11-deploy-seguro:validacao-em-staging-antes-da-promocao",
         "11-deploy-seguro:validacao-humana-obrigatoria-apos-deploy-automatizado",
         "11-deploy-seguro:validacoes-tecnicas-pre-deploy-com-gates-condicionais",
@@ -621,7 +569,6 @@
         "14-governanca-contratacao:monitorizacao-continua-de-conformidade-de-fornecedores-alertas-e-escalacao",
         "14-governanca-contratacao:offboarding-seguro-de-contractors-e-rescisao-de-fornecedores",
         "14-governanca-contratacao:preparacao-tecnica-e-validacao-de-contractors-pre-acesso",
-        "14-governanca-contratacao:processo-formal-de-excecoes-com-alcadas-por-nivel-de-risco",
         "14-governanca-contratacao:rastreabilidade-organizacional",
         "14-governanca-contratacao:reavaliacao-continua-e-rotacao-de-fornecedores-pos-onboarding",
         "14-governanca-contratacao:repositorio-de-conformidade-por-aplicacao-controlo-sistematico",
@@ -651,34 +598,26 @@
         "14-governanca-contratacao"
       ],
       "confidence": null,
-      "description": "Artifact Signature must be produced and retained as auditable evidence for practices such as Catálogo de requisitos do projeto (criação e manutenção), Definição de critérios de validação, Geração de SBOM e assinatura de artefactos de build.",
+      "description": "Artifact Signature must be produced and retained as auditable evidence for practices such as Geração de SBOM e assinatura de artefactos de build, AI BOM e gestão de *providers* de modelos AI {#us 14}, Alertas sobre Vulnerabilidades em Componentes Usados.",
       "evidence": [
         "control CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460 references artifact_signature",
         "control CTRL-code-integrity-integridade-e-governacao-de-pipelines-d5b14eeef2 references artifact_signature",
-        "control CTRL-identity-gestao-de-identidades-acessos-e-ownership-d0919c69af references artifact_signature",
         "control CTRL-infrastructure-deploy-seguro-e-reversivel-ae204be5f0 references artifact_signature",
-        "control CTRL-infrastructure-infraestrutura-como-codigo-governada-5228bca905 references artifact_signature"
+        "control CTRL-infrastructure-infraestrutura-como-codigo-governada-5228bca905 references artifact_signature",
+        "control CTRL-supply-chain-inventario-e-analise-de-dependencias-6b0fd9f7fb references artifact_signature"
       ],
       "mandatory": true,
       "requirement_id": "REQ-artifact-000",
       "source_control_ids": [
         "CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460",
         "CTRL-code-integrity-integridade-e-governacao-de-pipelines-d5b14eeef2",
-        "CTRL-identity-gestao-de-identidades-acessos-e-ownership-d0919c69af",
         "CTRL-infrastructure-deploy-seguro-e-reversivel-ae204be5f0",
         "CTRL-infrastructure-infraestrutura-como-codigo-governada-5228bca905",
         "CTRL-supply-chain-inventario-e-analise-de-dependencias-6b0fd9f7fb",
         "CTRL-supply-chain-supply-chain-segura-de-imagens-e-containers-8a8af25a4d"
       ],
       "source_practice_ids": [
-        "02-requisitos-seguranca:catalogo-de-requisitos-do-projeto-criacao-e-manutencao",
-        "02-requisitos-seguranca:definicao-de-criterios-de-validacao",
         "02-requisitos-seguranca:geracao-de-sbom-e-assinatura-de-artefactos-de-build",
-        "02-requisitos-seguranca:gestao-de-excecoes-com-ttl-e-revalidacao-obrigatoria",
-        "02-requisitos-seguranca:validacao-de-cobertura-de-testes",
-        "02-requisitos-seguranca:validacao-de-tags-sec-lx-e-requisitos-no-pipeline",
-        "02-requisitos-seguranca:validacao-e-aprovacao-final",
-        "02-requisitos-seguranca:validacao-por-requisito-dominio-req-xxx-evidencia",
         "05-dependencias-sbom-sca:ai-bom-e-gestao-de-providers-de-modelos-ai-us-14",
         "05-dependencias-sbom-sca:alertas-sobre-vulnerabilidades-em-componentes-usados",
         "05-dependencias-sbom-sca:auditoria-periodica-de-bibliotecas-copiadas-manualmente",
@@ -704,11 +643,9 @@
         "06-desenvolvimento-seguro:guidelines-de-desenvolvimento-seguro",
         "06-desenvolvimento-seguro:monitorizacao-de-conformidade-e-metricas-de-seguranca",
         "06-desenvolvimento-seguro:perfis-de-validacao-por-nivel-de-risco-l1l3",
-        "06-desenvolvimento-seguro:prompts-e-outputs-de-genai-sob-disciplina-de-codigo",
         "06-desenvolvimento-seguro:proveniencia-e-quality-gate-com-baseline-aprovada",
         "06-desenvolvimento-seguro:rastreabilidade-com-anotacoes-de-seguranca",
         "06-desenvolvimento-seguro:revisao-de-codigo-segura",
-        "06-desenvolvimento-seguro:uso-validado-de-genia",
         "06-desenvolvimento-seguro:validacao-de-padroes-perigosos-e-anti-patterns",
         "06-desenvolvimento-seguro:validacoes-locais-obrigatorias-pre-commit",
         "07-cicd-seguro:agentes-ai-como-principals-na-pipeline-us-19",
@@ -739,9 +676,7 @@
         "08-iac-infraestrutura:determinismo-e-reprodutibilidade-do-plan",
         "08-iac-infraestrutura:enforcement-automatico-de-politicas",
         "08-iac-infraestrutura:excecoes-formais-em-iac",
-        "08-iac-infraestrutura:gestao-de-segredos-e-identidades-para-iac",
         "08-iac-infraestrutura:governanca-e-origem-confiavel-de-modulos",
-        "08-iac-infraestrutura:janela-de-mudanca-e-aprovacoes-por-papel",
         "08-iac-infraestrutura:minimizacao-de-contexto-e-protecao-de-informacao-sensivel-em-iac",
         "08-iac-infraestrutura:proibicao-de-apply-manual-local-fora-do-pipeline",
         "08-iac-infraestrutura:rastreabilidade-ficheiro-recurso-ambiente",
@@ -749,7 +684,6 @@
         "08-iac-infraestrutura:reabertura-da-revisao-de-hardening-por-integridade-do-baseline",
         "08-iac-infraestrutura:revisao-formal-de-plan-antes-de-apply",
         "08-iac-infraestrutura:rollback-e-salvaguarda-de-destroy",
-        "08-iac-infraestrutura:segregacao-de-ambientes-tagging-e-permissoes-minimas",
         "08-iac-infraestrutura:separacao-de-funcoes-sod-e-controlo-de-execucao-de-apply",
         "08-iac-infraestrutura:validacoes-automaticas-integradas",
         "09-containers-imagens:aplicacao-de-politicas-formais-de-seguranca-no-runtime-com-opa-kyverno",
@@ -768,7 +702,6 @@
         "09-containers-imagens:perfis-seccomp-apparmor-e-verificacao-de-drift-de-hardening",
         "09-containers-imagens:pesos-de-modelo-ai-self-hosted-tratados-como-ativo-critico",
         "09-containers-imagens:promocao-por-estagios-com-aprovacao-explicita-e-revalidacao-por-ambiente",
-        "09-containers-imagens:rbac-minimo-e-serviceaccounts-dedicadas",
         "09-containers-imagens:retencao-e-limpeza-de-imagens-com-renovacao-periodica-por-sla",
         "09-containers-imagens:sandboxing-avancado-com-gvisor-kata-para-workloads-criticas",
         "09-containers-imagens:segmentacao-de-rede-e-networkpolicy",
@@ -786,23 +719,10 @@
         "11-deploy-seguro:reprodutibilidade-de-incidentes-em-runtime",
         "11-deploy-seguro:rollback-estruturado-por-tipo-binario-configuracao-bd-infra",
         "11-deploy-seguro:rollback-rapido-e-testado",
-        "11-deploy-seguro:separacao-entre-acao-automatica-e-autorizacao-irreversivel",
         "11-deploy-seguro:validacao-em-staging-antes-da-promocao",
         "11-deploy-seguro:validacao-humana-obrigatoria-apos-deploy-automatizado",
         "11-deploy-seguro:validacoes-tecnicas-pre-deploy-com-gates-condicionais",
-        "11-deploy-seguro:versionamento-semantico-e-changelog-tecnico",
-        "14-governanca-contratacao:aprovacao-formal-e-auditoria-periodica-das-politicas-organizacionais-us-22",
-        "14-governanca-contratacao:ciclo-continuo-de-revisao-e-reavaliacao-de-excecoes",
-        "14-governanca-contratacao:controlo-sistematico-e-periodico-por-capitulo-sbd-toe",
-        "14-governanca-contratacao:designacao-formal-de-owners-de-seguranca-por-aplicacao",
-        "14-governanca-contratacao:formalizacao-de-modelo-de-governacao-por-nivel-de-risco",
-        "14-governanca-contratacao:preparacao-tecnica-e-validacao-de-contractors-pre-acesso",
-        "14-governanca-contratacao:processo-formal-de-excecoes-com-alcadas-por-nivel-de-risco",
-        "14-governanca-contratacao:rastreabilidade-organizacional",
-        "14-governanca-contratacao:repositorio-de-conformidade-por-aplicacao-controlo-sistematico",
-        "14-governanca-contratacao:revisao-trimestral-de-acesso-de-contractors-least-privilege",
-        "14-governanca-contratacao:trilho-de-formacao-obrigatoria-pre-acesso-contractors",
-        "14-governanca-contratacao:validacao-periodica-de-aplicacoes-ciclo-de-conformidade"
+        "11-deploy-seguro:versionamento-semantico-e-changelog-tecnico"
       ],
       "warnings": []
     },
@@ -1009,7 +929,7 @@
         "14-governanca-contratacao"
       ],
       "confidence": null,
-      "description": "Environment Inventory must be produced and retained as auditable evidence for practices such as Catálogo de requisitos do projeto (criação e manutenção), Segmentação de ambientes e validação de topologia como código (L3), Assinatura e Proveniência de artefactos IaC.",
+      "description": "Environment Inventory must be produced and retained as auditable evidence for practices such as Segmentação de ambientes e validação de topologia como código (L3), Assinatura e Proveniência de artefactos IaC, Backend remoto, locking e rastreabilidade.",
       "evidence": [
         "control CTRL-infrastructure-infraestrutura-como-codigo-governada-5228bca905 references environment_inventory",
         "practice 04-arquitetura-segura:segmentacao-de-ambientes-e-validacao-de-topologia-como-codigo-l3 matched alias 'ambientes'",
@@ -1023,18 +943,21 @@
         "CTRL-infrastructure-infraestrutura-como-codigo-governada-5228bca905"
       ],
       "source_practice_ids": [
-        "02-requisitos-seguranca:catalogo-de-requisitos-do-projeto-criacao-e-manutencao",
         "04-arquitetura-segura:segmentacao-de-ambientes-e-validacao-de-topologia-como-codigo-l3",
         "08-iac-infraestrutura:assinatura-e-proveniencia-de-artefactos-iac",
         "08-iac-infraestrutura:backend-remoto-locking-e-rastreabilidade",
         "08-iac-infraestrutura:detecao-e-correcao-de-drift",
         "08-iac-infraestrutura:determinismo-e-reprodutibilidade-do-plan",
+        "08-iac-infraestrutura:enforcement-automatico-de-politicas",
         "08-iac-infraestrutura:excecoes-formais-em-iac",
         "08-iac-infraestrutura:governanca-e-origem-confiavel-de-modulos",
         "08-iac-infraestrutura:minimizacao-de-contexto-e-protecao-de-informacao-sensivel-em-iac",
         "08-iac-infraestrutura:proibicao-de-apply-manual-local-fora-do-pipeline",
+        "08-iac-infraestrutura:rastreabilidade-ficheiro-recurso-ambiente",
+        "08-iac-infraestrutura:rastreabilidade-versionamento-e-naming",
         "08-iac-infraestrutura:reabertura-da-revisao-de-hardening-por-integridade-do-baseline",
         "08-iac-infraestrutura:revisao-formal-de-plan-antes-de-apply",
+        "08-iac-infraestrutura:rollback-e-salvaguarda-de-destroy",
         "08-iac-infraestrutura:segregacao-de-ambientes-tagging-e-permissoes-minimas",
         "08-iac-infraestrutura:separacao-de-funcoes-sod-e-controlo-de-execucao-de-apply",
         "08-iac-infraestrutura:validacoes-automaticas-integradas",
@@ -1089,11 +1012,9 @@
         "12-monitorizacao-operacoes:nao-logging-de-secrets-e-gestao-de-excecoes-operacionais",
         "14-governanca-contratacao:ciclo-continuo-de-revisao-e-reavaliacao-de-excecoes",
         "14-governanca-contratacao:clausulas-contratuais-de-seguranca",
-        "14-governanca-contratacao:consolidacao-de-kpis-de-governacao-e-maturidade",
         "14-governanca-contratacao:contratacao-de-provedores-de-modelos-ai-us-21",
         "14-governanca-contratacao:execucao-de-fluxo-formal-de-validacao-de-fornecedores",
         "14-governanca-contratacao:feedback-pos-projeto-e-rating-de-contractors",
-        "14-governanca-contratacao:kpis-de-governacao",
         "14-governanca-contratacao:monitorizacao-continua-de-conformidade-de-fornecedores-alertas-e-escalacao",
         "14-governanca-contratacao:offboarding-seguro-de-contractors-e-rescisao-de-fornecedores",
         "14-governanca-contratacao:processo-formal-de-excecoes-com-alcadas-por-nivel-de-risco",
@@ -1182,15 +1103,16 @@
       "description": "Governance Kpi must be produced and retained as auditable evidence for practices such as Incorporação de restrições legais, normativas e contratuais, Recolha e thresholds dos indicadores RQS, Validação de arquitetura com threat modeling.",
       "evidence": [
         "control CTRL-governance-governacao-de-fornecedores-e-excecoes-a9a9ab3628 references governance_kpi",
+        "control CTRL-governance-governacao-organizacional-ownership-e-conformidade-761d416ead references governance_kpi",
         "practice 02-requisitos-seguranca:recolha-e-thresholds-dos-indicadores-rqs matched alias 'indicadores'",
         "practice 03-threat-modeling:validacao-de-arquitetura-com-threat-modeling matched alias 'metricas'",
-        "practice 06-desenvolvimento-seguro:guidelines-de-desenvolvimento-seguro matched alias 'metricas'",
-        "practice 06-desenvolvimento-seguro:monitorizacao-de-conformidade-e-metricas-de-seguranca matched alias 'metricas'"
+        "practice 06-desenvolvimento-seguro:guidelines-de-desenvolvimento-seguro matched alias 'metricas'"
       ],
       "mandatory": true,
       "requirement_id": "REQ-governance-000",
       "source_control_ids": [
-        "CTRL-governance-governacao-de-fornecedores-e-excecoes-a9a9ab3628"
+        "CTRL-governance-governacao-de-fornecedores-e-excecoes-a9a9ab3628",
+        "CTRL-governance-governacao-organizacional-ownership-e-conformidade-761d416ead"
       ],
       "source_practice_ids": [
         "02-requisitos-seguranca:incorporacao-de-restricoes-legais-normativas-e-contratuais",
@@ -1204,16 +1126,25 @@
         "12-monitorizacao-operacoes:metricas-de-eficacia-mttd-mttr",
         "13-formacao-onboarding:acao-corretiva-sobre-desvios-de-kpis",
         "13-formacao-onboarding:kpis-de-capacitacao-e-reporte-grc",
+        "14-governanca-contratacao:aprovacao-formal-e-auditoria-periodica-das-politicas-organizacionais-us-22",
+        "14-governanca-contratacao:ciclo-continuo-de-revisao-e-reavaliacao-de-excecoes",
         "14-governanca-contratacao:clausulas-contratuais-de-seguranca",
         "14-governanca-contratacao:consolidacao-de-kpis-de-governacao-e-maturidade",
         "14-governanca-contratacao:contratacao-de-provedores-de-modelos-ai-us-21",
+        "14-governanca-contratacao:controlo-sistematico-e-periodico-por-capitulo-sbd-toe",
+        "14-governanca-contratacao:designacao-formal-de-owners-de-seguranca-por-aplicacao",
         "14-governanca-contratacao:execucao-de-fluxo-formal-de-validacao-de-fornecedores",
         "14-governanca-contratacao:feedback-pos-projeto-e-rating-de-contractors",
+        "14-governanca-contratacao:formalizacao-de-modelo-de-governacao-por-nivel-de-risco",
         "14-governanca-contratacao:kpis-de-governacao",
         "14-governanca-contratacao:monitorizacao-continua-de-conformidade-de-fornecedores-alertas-e-escalacao",
         "14-governanca-contratacao:offboarding-seguro-de-contractors-e-rescisao-de-fornecedores",
+        "14-governanca-contratacao:processo-formal-de-excecoes-com-alcadas-por-nivel-de-risco",
+        "14-governanca-contratacao:rastreabilidade-organizacional",
         "14-governanca-contratacao:reavaliacao-continua-e-rotacao-de-fornecedores-pos-onboarding",
-        "14-governanca-contratacao:validacao-continua-de-fornecedores"
+        "14-governanca-contratacao:repositorio-de-conformidade-por-aplicacao-controlo-sistematico",
+        "14-governanca-contratacao:validacao-continua-de-fornecedores",
+        "14-governanca-contratacao:validacao-periodica-de-aplicacoes-ciclo-de-conformidade"
       ],
       "warnings": []
     },
@@ -1228,26 +1159,22 @@
         "14-governanca-contratacao"
       ],
       "confidence": null,
-      "description": "Guideline Catalog must be produced and retained as auditable evidence for practices such as Definição de critérios de validação, Gestão de Exceções com TTL e Revalidação Obrigatória, Validação de cobertura de testes.",
+      "description": "Guideline Catalog must be produced and retained as auditable evidence for practices such as Uso controlado de assistentes automatizados (incluindo IA) no desenvolvimento, Arquivo Central de Evidências de Validação, Automatização em CI/CD (Linters & SAST).",
       "evidence": [
+        "control CTRL-code-integrity-ambiente-e-tooling-de-desenvolvimento-governados-77015fa38a references guideline_catalog",
         "control CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460 references guideline_catalog",
         "practice 06-desenvolvimento-seguro:governacao-e-curadoria-de-guidelines matched alias 'guidelines'",
         "practice 06-desenvolvimento-seguro:guidelines-de-desenvolvimento-seguro matched alias 'guidelines'",
-        "corpus document 010-sbd-manual/00-fundamentos/baseline.md matched aliases ['guidelines']",
-        "corpus document 010-sbd-manual/00-fundamentos/macro-processos.md matched aliases ['guidelines']"
+        "corpus document 010-sbd-manual/00-fundamentos/baseline.md matched aliases ['guidelines']"
       ],
       "mandatory": true,
       "requirement_id": "REQ-guideline-000",
       "source_control_ids": [
+        "CTRL-code-integrity-ambiente-e-tooling-de-desenvolvimento-governados-77015fa38a",
         "CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460"
       ],
       "source_practice_ids": [
-        "02-requisitos-seguranca:definicao-de-criterios-de-validacao",
-        "02-requisitos-seguranca:gestao-de-excecoes-com-ttl-e-revalidacao-obrigatoria",
-        "02-requisitos-seguranca:validacao-de-cobertura-de-testes",
-        "02-requisitos-seguranca:validacao-de-tags-sec-lx-e-requisitos-no-pipeline",
-        "02-requisitos-seguranca:validacao-e-aprovacao-final",
-        "02-requisitos-seguranca:validacao-por-requisito-dominio-req-xxx-evidencia",
+        "02-requisitos-seguranca:uso-controlado-de-assistentes-automatizados-incluindo-ia-no-desenvolvimento",
         "06-desenvolvimento-seguro:arquivo-central-de-evidencias-de-validacao",
         "06-desenvolvimento-seguro:automatizacao-em-ci-cd-linters-sast",
         "06-desenvolvimento-seguro:gate-de-seguranca-pre-release",
@@ -1285,7 +1212,7 @@
         "14-governanca-contratacao"
       ],
       "confidence": null,
-      "description": "Iac Plan must be produced and retained as auditable evidence for practices such as Catálogo de requisitos do projeto (criação e manutenção), Assinatura e Proveniência de artefactos IaC, Backend remoto, locking e rastreabilidade.",
+      "description": "Iac Plan must be produced and retained as auditable evidence for practices such as Assinatura e Proveniência de artefactos IaC, Backend remoto, locking e rastreabilidade, Deteção e correção de *drift*.",
       "evidence": [
         "control CTRL-infrastructure-infraestrutura-como-codigo-governada-5228bca905 references iac_plan",
         "practice 08-iac-infraestrutura:assinatura-e-proveniencia-de-artefactos-iac matched alias 'iac'",
@@ -1299,7 +1226,6 @@
         "CTRL-infrastructure-infraestrutura-como-codigo-governada-5228bca905"
       ],
       "source_practice_ids": [
-        "02-requisitos-seguranca:catalogo-de-requisitos-do-projeto-criacao-e-manutencao",
         "08-iac-infraestrutura:assinatura-e-proveniencia-de-artefactos-iac",
         "08-iac-infraestrutura:backend-remoto-locking-e-rastreabilidade",
         "08-iac-infraestrutura:detecao-e-correcao-de-drift",
@@ -1341,62 +1267,33 @@
         "14-governanca-contratacao"
       ],
       "confidence": null,
-      "description": "Identity Binding must be produced and retained as auditable evidence for practices such as Gestão de segredos, Enforcement automático de políticas, Gestão de segredos e identidades para IaC.",
+      "description": "Identity Binding must be produced and retained as auditable evidence for practices such as Gestão de segredos, Gestão de segredos e identidades para IaC, Janela de mudança e aprovações por papel.",
       "evidence": [
         "control CTRL-identity-gestao-de-identidades-acessos-e-ownership-d0919c69af references identity_binding",
+        "control CTRL-identity-identidade-autenticacao-e-sessoes-aplicacionais-c9d3f51e82 references identity_binding",
         "control CTRL-secrets-gestao-de-segredos-e-identidades-operacionais-e2c86cdfe9 references identity_binding",
         "practice 09-containers-imagens:rbac-minimo-e-serviceaccounts-dedicadas matched alias 'rbac'",
-        "corpus document 010-sbd-manual/00-fundamentos/roles-responsabilidades/devops-sre.md matched aliases ['rbac']",
-        "corpus document 010-sbd-manual/01-classificacao-aplicacoes/addon/06-mapeamento-ameacas-risco.md matched aliases ['rbac']"
+        "corpus document 010-sbd-manual/00-fundamentos/roles-responsabilidades/devops-sre.md matched aliases ['rbac']"
       ],
       "mandatory": true,
       "requirement_id": "REQ-identity-000",
       "source_control_ids": [
         "CTRL-identity-gestao-de-identidades-acessos-e-ownership-d0919c69af",
+        "CTRL-identity-identidade-autenticacao-e-sessoes-aplicacionais-c9d3f51e82",
         "CTRL-secrets-gestao-de-segredos-e-identidades-operacionais-e2c86cdfe9"
       ],
       "source_practice_ids": [
         "07-cicd-seguro:gestao-de-segredos",
-        "08-iac-infraestrutura:enforcement-automatico-de-politicas",
         "08-iac-infraestrutura:gestao-de-segredos-e-identidades-para-iac",
         "08-iac-infraestrutura:janela-de-mudanca-e-aprovacoes-por-papel",
-        "08-iac-infraestrutura:rastreabilidade-ficheiro-recurso-ambiente",
-        "08-iac-infraestrutura:rastreabilidade-versionamento-e-naming",
-        "08-iac-infraestrutura:rollback-e-salvaguarda-de-destroy",
         "08-iac-infraestrutura:segregacao-de-ambientes-tagging-e-permissoes-minimas",
-        "09-containers-imagens:builders-e-runners-ephemerais-assinados-e-com-auditoria",
-        "09-containers-imagens:construcao-de-imagens-a-partir-de-bases-seguras-minimalistas-e-pinned-por-digest",
-        "09-containers-imagens:excecoes-temporarias-a-findings-policies-com-ttl-compensacoes-e-revalidacao",
         "09-containers-imagens:gestao-de-segredos-fora-da-imagem-com-oidc-e-workload-identity",
-        "09-containers-imagens:governacao-de-registries-com-allowlist-e-digest-only",
-        "09-containers-imagens:isolamento-de-gpu-e-separacao-de-workloads-de-inferencia-sensiveis",
-        "09-containers-imagens:perfis-seccomp-apparmor-e-verificacao-de-drift-de-hardening",
-        "09-containers-imagens:promocao-por-estagios-com-aprovacao-explicita-e-revalidacao-por-ambiente",
         "09-containers-imagens:rbac-minimo-e-serviceaccounts-dedicadas",
-        "09-containers-imagens:retencao-e-limpeza-de-imagens-com-renovacao-periodica-por-sla",
-        "09-containers-imagens:sandboxing-avancado-com-gvisor-kata-para-workloads-criticas",
-        "09-containers-imagens:validacao-automatica-de-vulnerabilidades-em-imagens-no-pipeline-ci-cd",
-        "11-deploy-seguro:controlo-e-validacao-de-drift-operacional",
         "11-deploy-seguro:credenciais-de-deploy-isoladas-por-aplicacao-e-efemeras",
-        "11-deploy-seguro:evidencia-operacional-auditavel",
         "11-deploy-seguro:gestao-segura-de-segredos-no-deploy",
-        "11-deploy-seguro:rastreabilidade-end-to-end",
-        "11-deploy-seguro:release-gates-especificos-para-sistemas-com-agentes-ai-us-18",
-        "11-deploy-seguro:reprodutibilidade-de-incidentes-em-runtime",
         "11-deploy-seguro:separacao-entre-acao-automatica-e-autorizacao-irreversivel",
-        "11-deploy-seguro:versionamento-semantico-e-changelog-tecnico",
-        "14-governanca-contratacao:aprovacao-formal-e-auditoria-periodica-das-politicas-organizacionais-us-22",
-        "14-governanca-contratacao:ciclo-continuo-de-revisao-e-reavaliacao-de-excecoes",
-        "14-governanca-contratacao:controlo-sistematico-e-periodico-por-capitulo-sbd-toe",
-        "14-governanca-contratacao:designacao-formal-de-owners-de-seguranca-por-aplicacao",
-        "14-governanca-contratacao:formalizacao-de-modelo-de-governacao-por-nivel-de-risco",
         "14-governanca-contratacao:preparacao-tecnica-e-validacao-de-contractors-pre-acesso",
-        "14-governanca-contratacao:processo-formal-de-excecoes-com-alcadas-por-nivel-de-risco",
-        "14-governanca-contratacao:rastreabilidade-organizacional",
-        "14-governanca-contratacao:repositorio-de-conformidade-por-aplicacao-controlo-sistematico",
-        "14-governanca-contratacao:revisao-trimestral-de-acesso-de-contractors-least-privilege",
-        "14-governanca-contratacao:trilho-de-formacao-obrigatoria-pre-acesso-contractors",
-        "14-governanca-contratacao:validacao-periodica-de-aplicacoes-ciclo-de-conformidade"
+        "14-governanca-contratacao:revisao-trimestral-de-acesso-de-contractors-least-privilege"
       ],
       "warnings": []
     },
@@ -1503,15 +1400,16 @@
       "confidence": null,
       "description": "Log Stream must be produced and retained as auditable evidence for practices such as Contenção de contexto e higiene de logs/outputs, Alertas com SLAs definidos, Classificação e Cobertura de Domínios de Monitorização.",
       "evidence": [
+        "control CTRL-identity-identidade-autenticacao-e-sessoes-aplicacionais-c9d3f51e82 references log_stream",
         "control CTRL-monitoring-monitorizacao-e-resposta-operacional-1797f0af70 references log_stream",
         "practice 07-cicd-seguro:contencao-de-contexto-e-higiene-de-logs-outputs matched alias 'logs'",
         "practice 12-monitorizacao-operacoes:seguranca-e-integridade-de-logs matched alias 'logs'",
-        "corpus document 010-sbd-manual/00-fundamentos/baseline.md matched aliases ['logs']",
-        "corpus document 010-sbd-manual/00-fundamentos/macro-processos.md matched aliases ['logs']"
+        "corpus document 010-sbd-manual/00-fundamentos/baseline.md matched aliases ['logs']"
       ],
       "mandatory": true,
       "requirement_id": "REQ-log-000",
       "source_control_ids": [
+        "CTRL-identity-identidade-autenticacao-e-sessoes-aplicacionais-c9d3f51e82",
         "CTRL-monitoring-monitorizacao-e-resposta-operacional-1797f0af70"
       ],
       "source_practice_ids": [
@@ -1608,7 +1506,8 @@
         "13-formacao-onboarding:validacao-formal-de-onboarding-via-checklist",
         "13-formacao-onboarding:war-room-e-simulacoes-de-incidentes",
         "14-governanca-contratacao:offboarding-seguro-de-contractors-e-rescisao-de-fornecedores",
-        "14-governanca-contratacao:reavaliacao-continua-e-rotacao-de-fornecedores-pos-onboarding"
+        "14-governanca-contratacao:reavaliacao-continua-e-rotacao-de-fornecedores-pos-onboarding",
+        "14-governanca-contratacao:trilho-de-formacao-obrigatoria-pre-acesso-contractors"
       ],
       "warnings": []
     },
@@ -1619,7 +1518,7 @@
         "11-deploy-seguro"
       ],
       "confidence": null,
-      "description": "Operational Evidence must be produced and retained as auditable evidence for practices such as Controlo de execução com *feature flags*, Deploy apenas de artefactos assinados, *Deploy* progressivo com estratégias *canary*/*blue green*.",
+      "description": "Operational Evidence must be produced and retained as auditable evidence for practices such as Controlo de execução com *feature flags*, Controlo e validação de drift operacional, Deploy apenas de artefactos assinados.",
       "evidence": [
         "control CTRL-infrastructure-deploy-seguro-e-reversivel-ae204be5f0 references operational_evidence",
         "practice 11-deploy-seguro:evidencia-operacional-auditavel matched alias 'evidencia operacional'",
@@ -1634,17 +1533,22 @@
       ],
       "source_practice_ids": [
         "11-deploy-seguro:controlo-de-execucao-com-feature-flags",
+        "11-deploy-seguro:controlo-e-validacao-de-drift-operacional",
         "11-deploy-seguro:deploy-apenas-de-artefactos-assinados",
         "11-deploy-seguro:deploy-progressivo-com-estrategias-canary-blue-green",
         "11-deploy-seguro:evidencia-operacional-auditavel",
         "11-deploy-seguro:feature-flags-avaliadas-no-backend-como-fronteira-de-confianca",
         "11-deploy-seguro:gates-de-aprovacao-no-deploy",
         "11-deploy-seguro:monitorizacao-pos-deploy",
+        "11-deploy-seguro:rastreabilidade-end-to-end",
+        "11-deploy-seguro:release-gates-especificos-para-sistemas-com-agentes-ai-us-18",
+        "11-deploy-seguro:reprodutibilidade-de-incidentes-em-runtime",
         "11-deploy-seguro:rollback-estruturado-por-tipo-binario-configuracao-bd-infra",
         "11-deploy-seguro:rollback-rapido-e-testado",
         "11-deploy-seguro:validacao-em-staging-antes-da-promocao",
         "11-deploy-seguro:validacao-humana-obrigatoria-apos-deploy-automatizado",
-        "11-deploy-seguro:validacoes-tecnicas-pre-deploy-com-gates-condicionais"
+        "11-deploy-seguro:validacoes-tecnicas-pre-deploy-com-gates-condicionais",
+        "11-deploy-seguro:versionamento-semantico-e-changelog-tecnico"
       ],
       "warnings": []
     },
@@ -1684,8 +1588,8 @@
         "CTRL-governance-arquitetura-segura-e-rastreavel-74562442c4",
         "CTRL-governance-classificacao-e-governacao-por-risco-97aceecf29",
         "CTRL-governance-threat-modeling-e-gestao-de-risco-272c9a8ed0",
-        "CTRL-identity-gestao-de-identidades-acessos-e-ownership-d0919c69af",
         "CTRL-infrastructure-infraestrutura-como-codigo-governada-5228bca905",
+        "CTRL-supply-chain-supply-chain-segura-de-imagens-e-containers-8a8af25a4d",
         "CTRL-testing-testes-de-seguranca-baseados-em-risco-55dcb62d34"
       ],
       "source_practice_ids": [
@@ -1710,7 +1614,6 @@
         "02-requisitos-seguranca:recolha-e-thresholds-dos-indicadores-rqs",
         "02-requisitos-seguranca:revisao-por-alteracao-relevante",
         "02-requisitos-seguranca:selecao-de-requisitos-por-criticidade",
-        "02-requisitos-seguranca:uso-controlado-de-assistentes-automatizados-incluindo-ia-no-desenvolvimento",
         "02-requisitos-seguranca:validacao-de-cobertura-de-testes",
         "02-requisitos-seguranca:validacao-de-tags-sec-lx-e-requisitos-no-pipeline",
         "02-requisitos-seguranca:validacao-e-aprovacao-final",
@@ -1755,11 +1658,9 @@
         "06-desenvolvimento-seguro:guidelines-de-desenvolvimento-seguro",
         "06-desenvolvimento-seguro:monitorizacao-de-conformidade-e-metricas-de-seguranca",
         "06-desenvolvimento-seguro:perfis-de-validacao-por-nivel-de-risco-l1l3",
-        "06-desenvolvimento-seguro:prompts-e-outputs-de-genai-sob-disciplina-de-codigo",
         "06-desenvolvimento-seguro:proveniencia-e-quality-gate-com-baseline-aprovada",
         "06-desenvolvimento-seguro:rastreabilidade-com-anotacoes-de-seguranca",
         "06-desenvolvimento-seguro:revisao-de-codigo-segura",
-        "06-desenvolvimento-seguro:uso-validado-de-genia",
         "06-desenvolvimento-seguro:validacao-de-padroes-perigosos-e-anti-patterns",
         "06-desenvolvimento-seguro:validacoes-locais-obrigatorias-pre-commit",
         "07-cicd-seguro:agentes-ai-como-principals-na-pipeline-us-19",
@@ -1791,9 +1692,7 @@
         "08-iac-infraestrutura:determinismo-e-reprodutibilidade-do-plan",
         "08-iac-infraestrutura:enforcement-automatico-de-politicas",
         "08-iac-infraestrutura:excecoes-formais-em-iac",
-        "08-iac-infraestrutura:gestao-de-segredos-e-identidades-para-iac",
         "08-iac-infraestrutura:governanca-e-origem-confiavel-de-modulos",
-        "08-iac-infraestrutura:janela-de-mudanca-e-aprovacoes-por-papel",
         "08-iac-infraestrutura:minimizacao-de-contexto-e-protecao-de-informacao-sensivel-em-iac",
         "08-iac-infraestrutura:proibicao-de-apply-manual-local-fora-do-pipeline",
         "08-iac-infraestrutura:rastreabilidade-ficheiro-recurso-ambiente",
@@ -1801,19 +1700,27 @@
         "08-iac-infraestrutura:reabertura-da-revisao-de-hardening-por-integridade-do-baseline",
         "08-iac-infraestrutura:revisao-formal-de-plan-antes-de-apply",
         "08-iac-infraestrutura:rollback-e-salvaguarda-de-destroy",
-        "08-iac-infraestrutura:segregacao-de-ambientes-tagging-e-permissoes-minimas",
         "08-iac-infraestrutura:separacao-de-funcoes-sod-e-controlo-de-execucao-de-apply",
         "08-iac-infraestrutura:validacoes-automaticas-integradas",
+        "09-containers-imagens:aplicacao-de-politicas-formais-de-seguranca-no-runtime-com-opa-kyverno",
+        "09-containers-imagens:aprovacao-depreciacao-e-revogacao-de-golden-base-images-catalogo-organizacional",
+        "09-containers-imagens:assinatura-e-verificacao-de-proveniencia-de-imagens-com-cosign-e-rekor",
         "09-containers-imagens:builders-e-runners-ephemerais-assinados-e-com-auditoria",
         "09-containers-imagens:construcao-de-imagens-a-partir-de-bases-seguras-minimalistas-e-pinned-por-digest",
+        "09-containers-imagens:enforcement-centralizado-e-auditavel-de-politicas-no-runtime",
         "09-containers-imagens:excecoes-temporarias-a-findings-policies-com-ttl-compensacoes-e-revalidacao",
+        "09-containers-imagens:geracao-e-rastreabilidade-de-sbom-em-imagens",
+        "09-containers-imagens:golden-base-images-com-patching-automatico",
         "09-containers-imagens:governacao-de-registries-com-allowlist-e-digest-only",
+        "09-containers-imagens:hardening-da-api-e-do-container-de-inferencia-ai",
         "09-containers-imagens:isolamento-de-gpu-e-separacao-de-workloads-de-inferencia-sensiveis",
+        "09-containers-imagens:monitorizacao-e-resposta-a-incidentes-em-runtime",
         "09-containers-imagens:perfis-seccomp-apparmor-e-verificacao-de-drift-de-hardening",
+        "09-containers-imagens:pesos-de-modelo-ai-self-hosted-tratados-como-ativo-critico",
         "09-containers-imagens:promocao-por-estagios-com-aprovacao-explicita-e-revalidacao-por-ambiente",
-        "09-containers-imagens:rbac-minimo-e-serviceaccounts-dedicadas",
         "09-containers-imagens:retencao-e-limpeza-de-imagens-com-renovacao-periodica-por-sla",
         "09-containers-imagens:sandboxing-avancado-com-gvisor-kata-para-workloads-criticas",
+        "09-containers-imagens:segmentacao-de-rede-e-networkpolicy",
         "09-containers-imagens:validacao-automatica-de-vulnerabilidades-em-imagens-no-pipeline-ci-cd",
         "10-testes-seguranca:avaliacao-critica-de-cobertura-real-e-limitacoes",
         "10-testes-seguranca:criterios-de-release-e-aceitacao-de-risco",
@@ -1836,26 +1743,7 @@
         "10-testes-seguranca:sast-obrigatorio-em-pull-request",
         "10-testes-seguranca:separacao-formal-entre-sinal-automatico-e-decisao-de-bloqueio-override",
         "10-testes-seguranca:validacao-empirica-de-exploitabilidade-de-findings",
-        "10-testes-seguranca:validacao-humana-da-interpretacao-final-dos-resultados",
-        "11-deploy-seguro:controlo-e-validacao-de-drift-operacional",
-        "11-deploy-seguro:evidencia-operacional-auditavel",
-        "11-deploy-seguro:rastreabilidade-end-to-end",
-        "11-deploy-seguro:release-gates-especificos-para-sistemas-com-agentes-ai-us-18",
-        "11-deploy-seguro:reprodutibilidade-de-incidentes-em-runtime",
-        "11-deploy-seguro:separacao-entre-acao-automatica-e-autorizacao-irreversivel",
-        "11-deploy-seguro:versionamento-semantico-e-changelog-tecnico",
-        "14-governanca-contratacao:aprovacao-formal-e-auditoria-periodica-das-politicas-organizacionais-us-22",
-        "14-governanca-contratacao:ciclo-continuo-de-revisao-e-reavaliacao-de-excecoes",
-        "14-governanca-contratacao:controlo-sistematico-e-periodico-por-capitulo-sbd-toe",
-        "14-governanca-contratacao:designacao-formal-de-owners-de-seguranca-por-aplicacao",
-        "14-governanca-contratacao:formalizacao-de-modelo-de-governacao-por-nivel-de-risco",
-        "14-governanca-contratacao:preparacao-tecnica-e-validacao-de-contractors-pre-acesso",
-        "14-governanca-contratacao:processo-formal-de-excecoes-com-alcadas-por-nivel-de-risco",
-        "14-governanca-contratacao:rastreabilidade-organizacional",
-        "14-governanca-contratacao:repositorio-de-conformidade-por-aplicacao-controlo-sistematico",
-        "14-governanca-contratacao:revisao-trimestral-de-acesso-de-contractors-least-privilege",
-        "14-governanca-contratacao:trilho-de-formacao-obrigatoria-pre-acesso-contractors",
-        "14-governanca-contratacao:validacao-periodica-de-aplicacoes-ciclo-de-conformidade"
+        "10-testes-seguranca:validacao-humana-da-interpretacao-final-dos-resultados"
       ],
       "warnings": []
     },
@@ -1879,7 +1767,7 @@
         "14-governanca-contratacao"
       ],
       "confidence": null,
-      "description": "Policy Report must be produced and retained as auditable evidence for practices such as Catálogo de requisitos do projeto (criação e manutenção), Política, Formação e Procedimentos Operacionais, Governação documentada de política de severidade, registries e registo de aprovação.",
+      "description": "Policy Report must be produced and retained as auditable evidence for practices such as Política, Formação e Procedimentos Operacionais, Governação documentada de política de severidade, registries e registo de aprovação, Evidência empírica obrigatória (anti “relatórios sem execução”).",
       "evidence": [
         "control CTRL-infrastructure-infraestrutura-como-codigo-governada-5228bca905 references policy_report",
         "practice 02-requisitos-seguranca:politica-formacao-e-procedimentos-operacionais matched alias 'politica'",
@@ -1893,7 +1781,6 @@
         "CTRL-infrastructure-infraestrutura-como-codigo-governada-5228bca905"
       ],
       "source_practice_ids": [
-        "02-requisitos-seguranca:catalogo-de-requisitos-do-projeto-criacao-e-manutencao",
         "02-requisitos-seguranca:politica-formacao-e-procedimentos-operacionais",
         "05-dependencias-sbom-sca:governacao-documentada-de-politica-de-severidade-registries-e-registo-de-aprovacao",
         "07-cicd-seguro:evidencia-empirica-obrigatoria-anti-relatorios-sem-execucao",
@@ -1906,8 +1793,11 @@
         "08-iac-infraestrutura:governanca-e-origem-confiavel-de-modulos",
         "08-iac-infraestrutura:minimizacao-de-contexto-e-protecao-de-informacao-sensivel-em-iac",
         "08-iac-infraestrutura:proibicao-de-apply-manual-local-fora-do-pipeline",
+        "08-iac-infraestrutura:rastreabilidade-ficheiro-recurso-ambiente",
+        "08-iac-infraestrutura:rastreabilidade-versionamento-e-naming",
         "08-iac-infraestrutura:reabertura-da-revisao-de-hardening-por-integridade-do-baseline",
         "08-iac-infraestrutura:revisao-formal-de-plan-antes-de-apply",
+        "08-iac-infraestrutura:rollback-e-salvaguarda-de-destroy",
         "08-iac-infraestrutura:separacao-de-funcoes-sod-e-controlo-de-execucao-de-apply",
         "08-iac-infraestrutura:validacoes-automaticas-integradas",
         "09-containers-imagens:aplicacao-de-politicas-formais-de-seguranca-no-runtime-com-opa-kyverno",
@@ -1962,7 +1852,8 @@
         "13-formacao-onboarding:trilhos-formativos-proporcionais-por-risco-l1l3",
         "13-formacao-onboarding:validacao-de-conhecimento-via-quizzes-estruturados",
         "13-formacao-onboarding:validacao-formal-de-onboarding-via-checklist",
-        "13-formacao-onboarding:war-room-e-simulacoes-de-incidentes"
+        "13-formacao-onboarding:war-room-e-simulacoes-de-incidentes",
+        "14-governanca-contratacao:trilho-de-formacao-obrigatoria-pre-acesso-contractors"
       ],
       "warnings": []
     },
@@ -2064,15 +1955,16 @@
       "description": "Review Checklist must be produced and retained as auditable evidence for practices such as Adoção de modelo de classificação alternativo (DRP/BIA) mapeado para E/D/I, Análise de risco residual, Aplicação da matriz de controlo.",
       "evidence": [
         "control CTRL-governance-classificacao-e-governacao-por-risco-97aceecf29 references review_checklist",
+        "control CTRL-governance-governacao-organizacional-ownership-e-conformidade-761d416ead references review_checklist",
         "practice 10-testes-seguranca:avaliacao-critica-de-cobertura-real-e-limitacoes matched alias 'checklist'",
         "practice 10-testes-seguranca:decisao-assistida-para-findings-de-testes-de-seguranca matched alias 'checklist'",
-        "practice 10-testes-seguranca:feedback-automatico-de-findings-as-equipas matched alias 'checklist'",
-        "practice 10-testes-seguranca:gestao-centralizada-de-findings-com-triagem-e-sla matched alias 'checklist'"
+        "practice 10-testes-seguranca:feedback-automatico-de-findings-as-equipas matched alias 'checklist'"
       ],
       "mandatory": true,
       "requirement_id": "REQ-review-000",
       "source_control_ids": [
-        "CTRL-governance-classificacao-e-governacao-por-risco-97aceecf29"
+        "CTRL-governance-classificacao-e-governacao-por-risco-97aceecf29",
+        "CTRL-governance-governacao-organizacional-ownership-e-conformidade-761d416ead"
       ],
       "source_practice_ids": [
         "01-classificacao-aplicacoes:adocao-de-modelo-de-classificacao-alternativo-drp-bia-mapeado-para-e-d-i",
@@ -2085,15 +1977,21 @@
         "01-classificacao-aplicacoes:reforco-de-controlos-por-atributos-do-risco",
         "01-classificacao-aplicacoes:revisao-por-alteracao-relevante-event-based",
         "01-classificacao-aplicacoes:validacao-antes-do-go-live",
+        "02-requisitos-seguranca:catalogo-de-requisitos-do-projeto-criacao-e-manutencao",
         "02-requisitos-seguranca:classificacao-do-tipo-de-controlo-na-matriz-de-rastreabilidade",
         "02-requisitos-seguranca:classificacao-e-registo-do-mandate-de-agente-ai-us-15",
+        "02-requisitos-seguranca:definicao-de-criterios-de-validacao",
         "02-requisitos-seguranca:gates-automaticos-em-ci-cd-para-requisitos-de-seguranca",
+        "02-requisitos-seguranca:gestao-de-excecoes-com-ttl-e-revalidacao-obrigatoria",
         "02-requisitos-seguranca:intent-declaration-por-tool-call-destrutivo-de-agente-ai",
         "02-requisitos-seguranca:rastreabilidade-de-requisitos",
         "02-requisitos-seguranca:recolha-e-thresholds-dos-indicadores-rqs",
         "02-requisitos-seguranca:revisao-por-alteracao-relevante",
         "02-requisitos-seguranca:selecao-de-requisitos-por-criticidade",
-        "02-requisitos-seguranca:uso-controlado-de-assistentes-automatizados-incluindo-ia-no-desenvolvimento",
+        "02-requisitos-seguranca:validacao-de-cobertura-de-testes",
+        "02-requisitos-seguranca:validacao-de-tags-sec-lx-e-requisitos-no-pipeline",
+        "02-requisitos-seguranca:validacao-e-aprovacao-final",
+        "02-requisitos-seguranca:validacao-por-requisito-dominio-req-xxx-evidencia",
         "10-testes-seguranca:avaliacao-critica-de-cobertura-real-e-limitacoes",
         "10-testes-seguranca:decisao-assistida-para-findings-de-testes-de-seguranca",
         "10-testes-seguranca:feedback-automatico-de-findings-as-equipas",
@@ -2111,7 +2009,16 @@
         "10-testes-seguranca:validacao-humana-da-interpretacao-final-dos-resultados",
         "13-formacao-onboarding:onboarding-seguro-obrigatorio",
         "13-formacao-onboarding:validacao-formal-de-onboarding-via-checklist",
-        "14-governanca-contratacao:offboarding-seguro-de-contractors-e-rescisao-de-fornecedores"
+        "14-governanca-contratacao:aprovacao-formal-e-auditoria-periodica-das-politicas-organizacionais-us-22",
+        "14-governanca-contratacao:consolidacao-de-kpis-de-governacao-e-maturidade",
+        "14-governanca-contratacao:controlo-sistematico-e-periodico-por-capitulo-sbd-toe",
+        "14-governanca-contratacao:designacao-formal-de-owners-de-seguranca-por-aplicacao",
+        "14-governanca-contratacao:formalizacao-de-modelo-de-governacao-por-nivel-de-risco",
+        "14-governanca-contratacao:kpis-de-governacao",
+        "14-governanca-contratacao:offboarding-seguro-de-contractors-e-rescisao-de-fornecedores",
+        "14-governanca-contratacao:rastreabilidade-organizacional",
+        "14-governanca-contratacao:repositorio-de-conformidade-por-aplicacao-controlo-sistematico",
+        "14-governanca-contratacao:validacao-periodica-de-aplicacoes-ciclo-de-conformidade"
       ],
       "warnings": []
     },
@@ -2195,15 +2102,21 @@
         "01-classificacao-aplicacoes:reforco-de-controlos-por-atributos-do-risco",
         "01-classificacao-aplicacoes:revisao-por-alteracao-relevante-event-based",
         "01-classificacao-aplicacoes:validacao-antes-do-go-live",
+        "02-requisitos-seguranca:catalogo-de-requisitos-do-projeto-criacao-e-manutencao",
         "02-requisitos-seguranca:classificacao-do-tipo-de-controlo-na-matriz-de-rastreabilidade",
         "02-requisitos-seguranca:classificacao-e-registo-do-mandate-de-agente-ai-us-15",
+        "02-requisitos-seguranca:definicao-de-criterios-de-validacao",
         "02-requisitos-seguranca:gates-automaticos-em-ci-cd-para-requisitos-de-seguranca",
+        "02-requisitos-seguranca:gestao-de-excecoes-com-ttl-e-revalidacao-obrigatoria",
         "02-requisitos-seguranca:intent-declaration-por-tool-call-destrutivo-de-agente-ai",
         "02-requisitos-seguranca:rastreabilidade-de-requisitos",
         "02-requisitos-seguranca:recolha-e-thresholds-dos-indicadores-rqs",
         "02-requisitos-seguranca:revisao-por-alteracao-relevante",
         "02-requisitos-seguranca:selecao-de-requisitos-por-criticidade",
-        "02-requisitos-seguranca:uso-controlado-de-assistentes-automatizados-incluindo-ia-no-desenvolvimento"
+        "02-requisitos-seguranca:validacao-de-cobertura-de-testes",
+        "02-requisitos-seguranca:validacao-de-tags-sec-lx-e-requisitos-no-pipeline",
+        "02-requisitos-seguranca:validacao-e-aprovacao-final",
+        "02-requisitos-seguranca:validacao-por-requisito-dominio-req-xxx-evidencia"
       ],
       "warnings": []
     },
@@ -2223,7 +2136,7 @@
         "14-governanca-contratacao"
       ],
       "confidence": null,
-      "description": "Rollback Plan must be produced and retained as auditable evidence for practices such as *Rollback* e salvaguarda de *destroy*, Controlo de execução com *feature flags*, Deploy apenas de artefactos assinados.",
+      "description": "Rollback Plan must be produced and retained as auditable evidence for practices such as *Rollback* e salvaguarda de *destroy*, Controlo de execução com *feature flags*, Controlo e validação de drift operacional.",
       "evidence": [
         "control CTRL-infrastructure-deploy-seguro-e-reversivel-ae204be5f0 references rollback_plan",
         "practice 08-iac-infraestrutura:rollback-e-salvaguarda-de-destroy matched alias 'rollback'",
@@ -2239,16 +2152,22 @@
       "source_practice_ids": [
         "08-iac-infraestrutura:rollback-e-salvaguarda-de-destroy",
         "11-deploy-seguro:controlo-de-execucao-com-feature-flags",
+        "11-deploy-seguro:controlo-e-validacao-de-drift-operacional",
         "11-deploy-seguro:deploy-apenas-de-artefactos-assinados",
         "11-deploy-seguro:deploy-progressivo-com-estrategias-canary-blue-green",
+        "11-deploy-seguro:evidencia-operacional-auditavel",
         "11-deploy-seguro:feature-flags-avaliadas-no-backend-como-fronteira-de-confianca",
         "11-deploy-seguro:gates-de-aprovacao-no-deploy",
         "11-deploy-seguro:monitorizacao-pos-deploy",
+        "11-deploy-seguro:rastreabilidade-end-to-end",
+        "11-deploy-seguro:release-gates-especificos-para-sistemas-com-agentes-ai-us-18",
+        "11-deploy-seguro:reprodutibilidade-de-incidentes-em-runtime",
         "11-deploy-seguro:rollback-estruturado-por-tipo-binario-configuracao-bd-infra",
         "11-deploy-seguro:rollback-rapido-e-testado",
         "11-deploy-seguro:validacao-em-staging-antes-da-promocao",
         "11-deploy-seguro:validacao-humana-obrigatoria-apos-deploy-automatizado",
-        "11-deploy-seguro:validacoes-tecnicas-pre-deploy-com-gates-condicionais"
+        "11-deploy-seguro:validacoes-tecnicas-pre-deploy-com-gates-condicionais",
+        "11-deploy-seguro:versionamento-semantico-e-changelog-tecnico"
       ],
       "warnings": []
     },
@@ -2269,7 +2188,7 @@
         "14-governanca-contratacao"
       ],
       "confidence": null,
-      "description": "Sast Report must be produced and retained as auditable evidence for practices such as Definição de critérios de validação, Gestão de Exceções com TTL e Revalidação Obrigatória, Validação de cobertura de testes.",
+      "description": "Sast Report must be produced and retained as auditable evidence for practices such as Arquivo Central de Evidências de Validação, Automatização em CI/CD (Linters & SAST), Gate de Segurança Pré release.",
       "evidence": [
         "control CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460 references sast_report",
         "practice 06-desenvolvimento-seguro:automatizacao-em-ci-cd-linters-sast matched alias 'linters'",
@@ -2283,12 +2202,6 @@
         "CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460"
       ],
       "source_practice_ids": [
-        "02-requisitos-seguranca:definicao-de-criterios-de-validacao",
-        "02-requisitos-seguranca:gestao-de-excecoes-com-ttl-e-revalidacao-obrigatoria",
-        "02-requisitos-seguranca:validacao-de-cobertura-de-testes",
-        "02-requisitos-seguranca:validacao-de-tags-sec-lx-e-requisitos-no-pipeline",
-        "02-requisitos-seguranca:validacao-e-aprovacao-final",
-        "02-requisitos-seguranca:validacao-por-requisito-dominio-req-xxx-evidencia",
         "06-desenvolvimento-seguro:arquivo-central-de-evidencias-de-validacao",
         "06-desenvolvimento-seguro:automatizacao-em-ci-cd-linters-sast",
         "06-desenvolvimento-seguro:gate-de-seguranca-pre-release",
@@ -2298,11 +2211,9 @@
         "06-desenvolvimento-seguro:guidelines-de-desenvolvimento-seguro",
         "06-desenvolvimento-seguro:monitorizacao-de-conformidade-e-metricas-de-seguranca",
         "06-desenvolvimento-seguro:perfis-de-validacao-por-nivel-de-risco-l1l3",
-        "06-desenvolvimento-seguro:prompts-e-outputs-de-genai-sob-disciplina-de-codigo",
         "06-desenvolvimento-seguro:proveniencia-e-quality-gate-com-baseline-aprovada",
         "06-desenvolvimento-seguro:rastreabilidade-com-anotacoes-de-seguranca",
         "06-desenvolvimento-seguro:revisao-de-codigo-segura",
-        "06-desenvolvimento-seguro:uso-validado-de-genia",
         "06-desenvolvimento-seguro:validacao-de-padroes-perigosos-e-anti-patterns",
         "06-desenvolvimento-seguro:validacoes-locais-obrigatorias-pre-commit",
         "10-testes-seguranca:perfil-de-regras-sast-versionado-com-baseline-de-falsos-positivos",
@@ -2330,7 +2241,7 @@
         "14-governanca-contratacao"
       ],
       "confidence": null,
-      "description": "Sbom must be produced and retained as auditable evidence for practices such as Definição de critérios de validação, Geração de SBOM e assinatura de artefactos de build, Gestão de Exceções com TTL e Revalidação Obrigatória.",
+      "description": "Sbom must be produced and retained as auditable evidence for practices such as Geração de SBOM e assinatura de artefactos de build, Incorporação de restrições legais, normativas e contratuais, Aplicação LINDDUN quando existir tratamento de dados pessoais  *(novo)*.",
       "evidence": [
         "control CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460 references sbom",
         "control CTRL-code-integrity-integridade-e-governacao-de-pipelines-d5b14eeef2 references sbom",
@@ -2349,14 +2260,8 @@
         "CTRL-supply-chain-supply-chain-segura-de-imagens-e-containers-8a8af25a4d"
       ],
       "source_practice_ids": [
-        "02-requisitos-seguranca:definicao-de-criterios-de-validacao",
         "02-requisitos-seguranca:geracao-de-sbom-e-assinatura-de-artefactos-de-build",
-        "02-requisitos-seguranca:gestao-de-excecoes-com-ttl-e-revalidacao-obrigatoria",
         "02-requisitos-seguranca:incorporacao-de-restricoes-legais-normativas-e-contratuais",
-        "02-requisitos-seguranca:validacao-de-cobertura-de-testes",
-        "02-requisitos-seguranca:validacao-de-tags-sec-lx-e-requisitos-no-pipeline",
-        "02-requisitos-seguranca:validacao-e-aprovacao-final",
-        "02-requisitos-seguranca:validacao-por-requisito-dominio-req-xxx-evidencia",
         "03-threat-modeling:aplicacao-linddun-quando-existir-tratamento-de-dados-pessoais-novo",
         "03-threat-modeling:aprovacao-formal-do-threat-model-baseline-e-revisoes",
         "03-threat-modeling:atualizacao-do-modelo-apos-alteracao-tecnica",
@@ -2397,11 +2302,9 @@
         "06-desenvolvimento-seguro:guidelines-de-desenvolvimento-seguro",
         "06-desenvolvimento-seguro:monitorizacao-de-conformidade-e-metricas-de-seguranca",
         "06-desenvolvimento-seguro:perfis-de-validacao-por-nivel-de-risco-l1l3",
-        "06-desenvolvimento-seguro:prompts-e-outputs-de-genai-sob-disciplina-de-codigo",
         "06-desenvolvimento-seguro:proveniencia-e-quality-gate-com-baseline-aprovada",
         "06-desenvolvimento-seguro:rastreabilidade-com-anotacoes-de-seguranca",
         "06-desenvolvimento-seguro:revisao-de-codigo-segura",
-        "06-desenvolvimento-seguro:uso-validado-de-genia",
         "06-desenvolvimento-seguro:validacao-de-padroes-perigosos-e-anti-patterns",
         "06-desenvolvimento-seguro:validacoes-locais-obrigatorias-pre-commit",
         "07-cicd-seguro:agentes-ai-como-principals-na-pipeline-us-19",
@@ -2429,21 +2332,31 @@
         "09-containers-imagens:aplicacao-de-politicas-formais-de-seguranca-no-runtime-com-opa-kyverno",
         "09-containers-imagens:aprovacao-depreciacao-e-revogacao-de-golden-base-images-catalogo-organizacional",
         "09-containers-imagens:assinatura-e-verificacao-de-proveniencia-de-imagens-com-cosign-e-rekor",
+        "09-containers-imagens:builders-e-runners-ephemerais-assinados-e-com-auditoria",
+        "09-containers-imagens:construcao-de-imagens-a-partir-de-bases-seguras-minimalistas-e-pinned-por-digest",
         "09-containers-imagens:enforcement-centralizado-e-auditavel-de-politicas-no-runtime",
+        "09-containers-imagens:excecoes-temporarias-a-findings-policies-com-ttl-compensacoes-e-revalidacao",
         "09-containers-imagens:geracao-e-rastreabilidade-de-sbom-em-imagens",
         "09-containers-imagens:golden-base-images-com-patching-automatico",
+        "09-containers-imagens:governacao-de-registries-com-allowlist-e-digest-only",
         "09-containers-imagens:hardening-da-api-e-do-container-de-inferencia-ai",
+        "09-containers-imagens:isolamento-de-gpu-e-separacao-de-workloads-de-inferencia-sensiveis",
         "09-containers-imagens:monitorizacao-e-resposta-a-incidentes-em-runtime",
+        "09-containers-imagens:perfis-seccomp-apparmor-e-verificacao-de-drift-de-hardening",
         "09-containers-imagens:pesos-de-modelo-ai-self-hosted-tratados-como-ativo-critico",
+        "09-containers-imagens:promocao-por-estagios-com-aprovacao-explicita-e-revalidacao-por-ambiente",
+        "09-containers-imagens:retencao-e-limpeza-de-imagens-com-renovacao-periodica-por-sla",
+        "09-containers-imagens:sandboxing-avancado-com-gvisor-kata-para-workloads-criticas",
         "09-containers-imagens:segmentacao-de-rede-e-networkpolicy",
+        "09-containers-imagens:validacao-automatica-de-vulnerabilidades-em-imagens-no-pipeline-ci-cd",
+        "14-governanca-contratacao:ciclo-continuo-de-revisao-e-reavaliacao-de-excecoes",
         "14-governanca-contratacao:clausulas-contratuais-de-seguranca",
-        "14-governanca-contratacao:consolidacao-de-kpis-de-governacao-e-maturidade",
         "14-governanca-contratacao:contratacao-de-provedores-de-modelos-ai-us-21",
         "14-governanca-contratacao:execucao-de-fluxo-formal-de-validacao-de-fornecedores",
         "14-governanca-contratacao:feedback-pos-projeto-e-rating-de-contractors",
-        "14-governanca-contratacao:kpis-de-governacao",
         "14-governanca-contratacao:monitorizacao-continua-de-conformidade-de-fornecedores-alertas-e-escalacao",
         "14-governanca-contratacao:offboarding-seguro-de-contractors-e-rescisao-de-fornecedores",
+        "14-governanca-contratacao:processo-formal-de-excecoes-com-alcadas-por-nivel-de-risco",
         "14-governanca-contratacao:reavaliacao-continua-e-rotacao-de-fornecedores-pos-onboarding",
         "14-governanca-contratacao:validacao-continua-de-fornecedores"
       ],
@@ -2468,7 +2381,7 @@
         "14-governanca-contratacao"
       ],
       "confidence": null,
-      "description": "Sca Report must be produced and retained as auditable evidence for practices such as Definição de critérios de validação, Geração de SBOM e assinatura de artefactos de build, Gestão de Exceções com TTL e Revalidação Obrigatória.",
+      "description": "Sca Report must be produced and retained as auditable evidence for practices such as Geração de SBOM e assinatura de artefactos de build, Incorporação de restrições legais, normativas e contratuais, Aplicação LINDDUN quando existir tratamento de dados pessoais  *(novo)*.",
       "evidence": [
         "control CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460 references sca_report",
         "control CTRL-code-integrity-integridade-e-governacao-de-pipelines-d5b14eeef2 references sca_report",
@@ -2487,14 +2400,8 @@
         "CTRL-supply-chain-supply-chain-segura-de-imagens-e-containers-8a8af25a4d"
       ],
       "source_practice_ids": [
-        "02-requisitos-seguranca:definicao-de-criterios-de-validacao",
         "02-requisitos-seguranca:geracao-de-sbom-e-assinatura-de-artefactos-de-build",
-        "02-requisitos-seguranca:gestao-de-excecoes-com-ttl-e-revalidacao-obrigatoria",
         "02-requisitos-seguranca:incorporacao-de-restricoes-legais-normativas-e-contratuais",
-        "02-requisitos-seguranca:validacao-de-cobertura-de-testes",
-        "02-requisitos-seguranca:validacao-de-tags-sec-lx-e-requisitos-no-pipeline",
-        "02-requisitos-seguranca:validacao-e-aprovacao-final",
-        "02-requisitos-seguranca:validacao-por-requisito-dominio-req-xxx-evidencia",
         "03-threat-modeling:aplicacao-linddun-quando-existir-tratamento-de-dados-pessoais-novo",
         "03-threat-modeling:aprovacao-formal-do-threat-model-baseline-e-revisoes",
         "03-threat-modeling:atualizacao-do-modelo-apos-alteracao-tecnica",
@@ -2535,11 +2442,9 @@
         "06-desenvolvimento-seguro:guidelines-de-desenvolvimento-seguro",
         "06-desenvolvimento-seguro:monitorizacao-de-conformidade-e-metricas-de-seguranca",
         "06-desenvolvimento-seguro:perfis-de-validacao-por-nivel-de-risco-l1l3",
-        "06-desenvolvimento-seguro:prompts-e-outputs-de-genai-sob-disciplina-de-codigo",
         "06-desenvolvimento-seguro:proveniencia-e-quality-gate-com-baseline-aprovada",
         "06-desenvolvimento-seguro:rastreabilidade-com-anotacoes-de-seguranca",
         "06-desenvolvimento-seguro:revisao-de-codigo-segura",
-        "06-desenvolvimento-seguro:uso-validado-de-genia",
         "06-desenvolvimento-seguro:validacao-de-padroes-perigosos-e-anti-patterns",
         "06-desenvolvimento-seguro:validacoes-locais-obrigatorias-pre-commit",
         "07-cicd-seguro:agentes-ai-como-principals-na-pipeline-us-19",
@@ -2567,21 +2472,31 @@
         "09-containers-imagens:aplicacao-de-politicas-formais-de-seguranca-no-runtime-com-opa-kyverno",
         "09-containers-imagens:aprovacao-depreciacao-e-revogacao-de-golden-base-images-catalogo-organizacional",
         "09-containers-imagens:assinatura-e-verificacao-de-proveniencia-de-imagens-com-cosign-e-rekor",
+        "09-containers-imagens:builders-e-runners-ephemerais-assinados-e-com-auditoria",
+        "09-containers-imagens:construcao-de-imagens-a-partir-de-bases-seguras-minimalistas-e-pinned-por-digest",
         "09-containers-imagens:enforcement-centralizado-e-auditavel-de-politicas-no-runtime",
+        "09-containers-imagens:excecoes-temporarias-a-findings-policies-com-ttl-compensacoes-e-revalidacao",
         "09-containers-imagens:geracao-e-rastreabilidade-de-sbom-em-imagens",
         "09-containers-imagens:golden-base-images-com-patching-automatico",
+        "09-containers-imagens:governacao-de-registries-com-allowlist-e-digest-only",
         "09-containers-imagens:hardening-da-api-e-do-container-de-inferencia-ai",
+        "09-containers-imagens:isolamento-de-gpu-e-separacao-de-workloads-de-inferencia-sensiveis",
         "09-containers-imagens:monitorizacao-e-resposta-a-incidentes-em-runtime",
+        "09-containers-imagens:perfis-seccomp-apparmor-e-verificacao-de-drift-de-hardening",
         "09-containers-imagens:pesos-de-modelo-ai-self-hosted-tratados-como-ativo-critico",
+        "09-containers-imagens:promocao-por-estagios-com-aprovacao-explicita-e-revalidacao-por-ambiente",
+        "09-containers-imagens:retencao-e-limpeza-de-imagens-com-renovacao-periodica-por-sla",
+        "09-containers-imagens:sandboxing-avancado-com-gvisor-kata-para-workloads-criticas",
         "09-containers-imagens:segmentacao-de-rede-e-networkpolicy",
+        "09-containers-imagens:validacao-automatica-de-vulnerabilidades-em-imagens-no-pipeline-ci-cd",
+        "14-governanca-contratacao:ciclo-continuo-de-revisao-e-reavaliacao-de-excecoes",
         "14-governanca-contratacao:clausulas-contratuais-de-seguranca",
-        "14-governanca-contratacao:consolidacao-de-kpis-de-governacao-e-maturidade",
         "14-governanca-contratacao:contratacao-de-provedores-de-modelos-ai-us-21",
         "14-governanca-contratacao:execucao-de-fluxo-formal-de-validacao-de-fornecedores",
         "14-governanca-contratacao:feedback-pos-projeto-e-rating-de-contractors",
-        "14-governanca-contratacao:kpis-de-governacao",
         "14-governanca-contratacao:monitorizacao-continua-de-conformidade-de-fornecedores-alertas-e-escalacao",
         "14-governanca-contratacao:offboarding-seguro-de-contractors-e-rescisao-de-fornecedores",
+        "14-governanca-contratacao:processo-formal-de-excecoes-com-alcadas-por-nivel-de-risco",
         "14-governanca-contratacao:reavaliacao-continua-e-rotacao-de-fornecedores-pos-onboarding",
         "14-governanca-contratacao:validacao-continua-de-fornecedores"
       ],
@@ -2610,7 +2525,7 @@
       "description": "Secret Config must be produced and retained as auditable evidence for practices such as Agentes AI como *principals* na pipeline {#us 19}, Assinatura e proveniência, Cobertura ampliada (containers e SBOM).",
       "evidence": [
         "control CTRL-code-integrity-integridade-e-governacao-de-pipelines-d5b14eeef2 references secret_config",
-        "control CTRL-identity-gestao-de-identidades-acessos-e-ownership-d0919c69af references secret_config",
+        "control CTRL-data-protection-criptografia-aplicacional-e-proteccao-de-dados-a4afa5b411 references secret_config",
         "control CTRL-secrets-gestao-de-segredos-e-identidades-operacionais-e2c86cdfe9 references secret_config",
         "practice 07-cicd-seguro:gestao-de-segredos matched alias 'segredos'",
         "practice 08-iac-infraestrutura:gestao-de-segredos-e-identidades-para-iac matched alias 'segredos'"
@@ -2619,7 +2534,7 @@
       "requirement_id": "REQ-secret-000",
       "source_control_ids": [
         "CTRL-code-integrity-integridade-e-governacao-de-pipelines-d5b14eeef2",
-        "CTRL-identity-gestao-de-identidades-acessos-e-ownership-d0919c69af",
+        "CTRL-data-protection-criptografia-aplicacional-e-proteccao-de-dados-a4afa5b411",
         "CTRL-secrets-gestao-de-segredos-e-identidades-operacionais-e2c86cdfe9"
       ],
       "source_practice_ids": [
@@ -2646,47 +2561,11 @@
         "07-cicd-seguro:separacao-formal-entre-sinal-automatico-e-decisao-de-promocao",
         "07-cicd-seguro:testes-de-seguranca-dinamicos-dast",
         "07-cicd-seguro:validacao-de-integridade-de-imagens-base",
-        "08-iac-infraestrutura:enforcement-automatico-de-politicas",
         "08-iac-infraestrutura:gestao-de-segredos-e-identidades-para-iac",
-        "08-iac-infraestrutura:janela-de-mudanca-e-aprovacoes-por-papel",
-        "08-iac-infraestrutura:rastreabilidade-ficheiro-recurso-ambiente",
-        "08-iac-infraestrutura:rastreabilidade-versionamento-e-naming",
-        "08-iac-infraestrutura:rollback-e-salvaguarda-de-destroy",
-        "08-iac-infraestrutura:segregacao-de-ambientes-tagging-e-permissoes-minimas",
-        "09-containers-imagens:builders-e-runners-ephemerais-assinados-e-com-auditoria",
-        "09-containers-imagens:construcao-de-imagens-a-partir-de-bases-seguras-minimalistas-e-pinned-por-digest",
-        "09-containers-imagens:excecoes-temporarias-a-findings-policies-com-ttl-compensacoes-e-revalidacao",
         "09-containers-imagens:gestao-de-segredos-fora-da-imagem-com-oidc-e-workload-identity",
-        "09-containers-imagens:governacao-de-registries-com-allowlist-e-digest-only",
-        "09-containers-imagens:isolamento-de-gpu-e-separacao-de-workloads-de-inferencia-sensiveis",
-        "09-containers-imagens:perfis-seccomp-apparmor-e-verificacao-de-drift-de-hardening",
-        "09-containers-imagens:promocao-por-estagios-com-aprovacao-explicita-e-revalidacao-por-ambiente",
-        "09-containers-imagens:rbac-minimo-e-serviceaccounts-dedicadas",
-        "09-containers-imagens:retencao-e-limpeza-de-imagens-com-renovacao-periodica-por-sla",
-        "09-containers-imagens:sandboxing-avancado-com-gvisor-kata-para-workloads-criticas",
-        "09-containers-imagens:validacao-automatica-de-vulnerabilidades-em-imagens-no-pipeline-ci-cd",
-        "11-deploy-seguro:controlo-e-validacao-de-drift-operacional",
         "11-deploy-seguro:credenciais-de-deploy-isoladas-por-aplicacao-e-efemeras",
-        "11-deploy-seguro:evidencia-operacional-auditavel",
         "11-deploy-seguro:gestao-segura-de-segredos-no-deploy",
-        "11-deploy-seguro:rastreabilidade-end-to-end",
-        "11-deploy-seguro:release-gates-especificos-para-sistemas-com-agentes-ai-us-18",
-        "11-deploy-seguro:reprodutibilidade-de-incidentes-em-runtime",
-        "11-deploy-seguro:separacao-entre-acao-automatica-e-autorizacao-irreversivel",
-        "11-deploy-seguro:versionamento-semantico-e-changelog-tecnico",
-        "12-monitorizacao-operacoes:nao-logging-de-secrets-e-gestao-de-excecoes-operacionais",
-        "14-governanca-contratacao:aprovacao-formal-e-auditoria-periodica-das-politicas-organizacionais-us-22",
-        "14-governanca-contratacao:ciclo-continuo-de-revisao-e-reavaliacao-de-excecoes",
-        "14-governanca-contratacao:controlo-sistematico-e-periodico-por-capitulo-sbd-toe",
-        "14-governanca-contratacao:designacao-formal-de-owners-de-seguranca-por-aplicacao",
-        "14-governanca-contratacao:formalizacao-de-modelo-de-governacao-por-nivel-de-risco",
-        "14-governanca-contratacao:preparacao-tecnica-e-validacao-de-contractors-pre-acesso",
-        "14-governanca-contratacao:processo-formal-de-excecoes-com-alcadas-por-nivel-de-risco",
-        "14-governanca-contratacao:rastreabilidade-organizacional",
-        "14-governanca-contratacao:repositorio-de-conformidade-por-aplicacao-controlo-sistematico",
-        "14-governanca-contratacao:revisao-trimestral-de-acesso-de-contractors-least-privilege",
-        "14-governanca-contratacao:trilho-de-formacao-obrigatoria-pre-acesso-contractors",
-        "14-governanca-contratacao:validacao-periodica-de-aplicacoes-ciclo-de-conformidade"
+        "12-monitorizacao-operacoes:nao-logging-de-secrets-e-gestao-de-excecoes-operacionais"
       ],
       "warnings": []
     },
@@ -2730,13 +2609,23 @@
         "09-containers-imagens:aplicacao-de-politicas-formais-de-seguranca-no-runtime-com-opa-kyverno",
         "09-containers-imagens:aprovacao-depreciacao-e-revogacao-de-golden-base-images-catalogo-organizacional",
         "09-containers-imagens:assinatura-e-verificacao-de-proveniencia-de-imagens-com-cosign-e-rekor",
+        "09-containers-imagens:builders-e-runners-ephemerais-assinados-e-com-auditoria",
+        "09-containers-imagens:construcao-de-imagens-a-partir-de-bases-seguras-minimalistas-e-pinned-por-digest",
         "09-containers-imagens:enforcement-centralizado-e-auditavel-de-politicas-no-runtime",
+        "09-containers-imagens:excecoes-temporarias-a-findings-policies-com-ttl-compensacoes-e-revalidacao",
         "09-containers-imagens:geracao-e-rastreabilidade-de-sbom-em-imagens",
         "09-containers-imagens:golden-base-images-com-patching-automatico",
+        "09-containers-imagens:governacao-de-registries-com-allowlist-e-digest-only",
         "09-containers-imagens:hardening-da-api-e-do-container-de-inferencia-ai",
+        "09-containers-imagens:isolamento-de-gpu-e-separacao-de-workloads-de-inferencia-sensiveis",
         "09-containers-imagens:monitorizacao-e-resposta-a-incidentes-em-runtime",
+        "09-containers-imagens:perfis-seccomp-apparmor-e-verificacao-de-drift-de-hardening",
         "09-containers-imagens:pesos-de-modelo-ai-self-hosted-tratados-como-ativo-critico",
-        "09-containers-imagens:segmentacao-de-rede-e-networkpolicy"
+        "09-containers-imagens:promocao-por-estagios-com-aprovacao-explicita-e-revalidacao-por-ambiente",
+        "09-containers-imagens:retencao-e-limpeza-de-imagens-com-renovacao-periodica-por-sla",
+        "09-containers-imagens:sandboxing-avancado-com-gvisor-kata-para-workloads-criticas",
+        "09-containers-imagens:segmentacao-de-rede-e-networkpolicy",
+        "09-containers-imagens:validacao-automatica-de-vulnerabilidades-em-imagens-no-pipeline-ci-cd"
       ],
       "warnings": []
     },
@@ -2752,7 +2641,7 @@
         "14-governanca-contratacao"
       ],
       "confidence": null,
-      "description": "Supplier Assessment must be produced and retained as auditable evidence for practices such as Incorporação de restrições legais, normativas e contratuais, Cláusulas contratuais de segurança, Consolidação de KPIs de governação e maturidade.",
+      "description": "Supplier Assessment must be produced and retained as auditable evidence for practices such as Incorporação de restrições legais, normativas e contratuais, Ciclo contínuo de revisão e reavaliação de exceções, Cláusulas contratuais de segurança.",
       "evidence": [
         "control CTRL-governance-governacao-de-fornecedores-e-excecoes-a9a9ab3628 references supplier_assessment",
         "corpus document 010-sbd-manual/00-fundamentos/macro-processos.md matched aliases ['fornecedor']",
@@ -2767,14 +2656,14 @@
       ],
       "source_practice_ids": [
         "02-requisitos-seguranca:incorporacao-de-restricoes-legais-normativas-e-contratuais",
+        "14-governanca-contratacao:ciclo-continuo-de-revisao-e-reavaliacao-de-excecoes",
         "14-governanca-contratacao:clausulas-contratuais-de-seguranca",
-        "14-governanca-contratacao:consolidacao-de-kpis-de-governacao-e-maturidade",
         "14-governanca-contratacao:contratacao-de-provedores-de-modelos-ai-us-21",
         "14-governanca-contratacao:execucao-de-fluxo-formal-de-validacao-de-fornecedores",
         "14-governanca-contratacao:feedback-pos-projeto-e-rating-de-contractors",
-        "14-governanca-contratacao:kpis-de-governacao",
         "14-governanca-contratacao:monitorizacao-continua-de-conformidade-de-fornecedores-alertas-e-escalacao",
         "14-governanca-contratacao:offboarding-seguro-de-contractors-e-rescisao-de-fornecedores",
+        "14-governanca-contratacao:processo-formal-de-excecoes-com-alcadas-por-nivel-de-risco",
         "14-governanca-contratacao:reavaliacao-continua-e-rotacao-de-fornecedores-pos-onboarding",
         "14-governanca-contratacao:validacao-continua-de-fornecedores"
       ],
@@ -2800,24 +2689,46 @@
         "14-governanca-contratacao"
       ],
       "confidence": null,
-      "description": "Test Report must be produced and retained as auditable evidence for practices such as Definição de critérios de validação, Gestão de Exceções com TTL e Revalidação Obrigatória, Validação de cobertura de testes.",
+      "description": "Test Report must be produced and retained as auditable evidence for practices such as Adoção de modelo de classificação alternativo (DRP/BIA) mapeado para E/D/I, Análise de risco residual, Aplicação da matriz de controlo.",
       "evidence": [
         "control CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460 references test_report",
         "control CTRL-code-integrity-integridade-e-governacao-de-pipelines-d5b14eeef2 references test_report",
-        "control CTRL-testing-testes-de-seguranca-baseados-em-risco-55dcb62d34 references test_report",
-        "practice 02-requisitos-seguranca:validacao-de-cobertura-de-testes matched alias 'testes'",
-        "practice 07-cicd-seguro:testes-de-seguranca-dinamicos-dast matched alias 'testes'"
+        "control CTRL-data-protection-criptografia-aplicacional-e-proteccao-de-dados-a4afa5b411 references test_report",
+        "control CTRL-governance-classificacao-e-governacao-por-risco-97aceecf29 references test_report",
+        "control CTRL-identity-identidade-autenticacao-e-sessoes-aplicacionais-c9d3f51e82 references test_report"
       ],
       "mandatory": true,
       "requirement_id": "REQ-test-000",
       "source_control_ids": [
         "CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460",
         "CTRL-code-integrity-integridade-e-governacao-de-pipelines-d5b14eeef2",
+        "CTRL-data-protection-criptografia-aplicacional-e-proteccao-de-dados-a4afa5b411",
+        "CTRL-governance-classificacao-e-governacao-por-risco-97aceecf29",
+        "CTRL-identity-identidade-autenticacao-e-sessoes-aplicacionais-c9d3f51e82",
         "CTRL-testing-testes-de-seguranca-baseados-em-risco-55dcb62d34"
       ],
       "source_practice_ids": [
+        "01-classificacao-aplicacoes:adocao-de-modelo-de-classificacao-alternativo-drp-bia-mapeado-para-e-d-i",
+        "01-classificacao-aplicacoes:analise-de-risco-residual",
+        "01-classificacao-aplicacoes:aplicacao-da-matriz-de-controlo",
+        "01-classificacao-aplicacoes:classificacao-inicial-da-aplicacao",
+        "01-classificacao-aplicacoes:interdicoes-de-aceitacao-de-risco-em-automacao-e-apoio-a-decisao",
+        "01-classificacao-aplicacoes:mapeamento-de-ameacas-por-nivel-de-risco",
+        "01-classificacao-aplicacoes:producao-e-manutencao-do-inventario-central-com-autoridade-de-aprovacao-proporcional",
+        "01-classificacao-aplicacoes:reforco-de-controlos-por-atributos-do-risco",
+        "01-classificacao-aplicacoes:revisao-por-alteracao-relevante-event-based",
+        "01-classificacao-aplicacoes:validacao-antes-do-go-live",
+        "02-requisitos-seguranca:catalogo-de-requisitos-do-projeto-criacao-e-manutencao",
+        "02-requisitos-seguranca:classificacao-do-tipo-de-controlo-na-matriz-de-rastreabilidade",
+        "02-requisitos-seguranca:classificacao-e-registo-do-mandate-de-agente-ai-us-15",
         "02-requisitos-seguranca:definicao-de-criterios-de-validacao",
+        "02-requisitos-seguranca:gates-automaticos-em-ci-cd-para-requisitos-de-seguranca",
         "02-requisitos-seguranca:gestao-de-excecoes-com-ttl-e-revalidacao-obrigatoria",
+        "02-requisitos-seguranca:intent-declaration-por-tool-call-destrutivo-de-agente-ai",
+        "02-requisitos-seguranca:rastreabilidade-de-requisitos",
+        "02-requisitos-seguranca:recolha-e-thresholds-dos-indicadores-rqs",
+        "02-requisitos-seguranca:revisao-por-alteracao-relevante",
+        "02-requisitos-seguranca:selecao-de-requisitos-por-criticidade",
         "02-requisitos-seguranca:validacao-de-cobertura-de-testes",
         "02-requisitos-seguranca:validacao-de-tags-sec-lx-e-requisitos-no-pipeline",
         "02-requisitos-seguranca:validacao-e-aprovacao-final",
@@ -2831,11 +2742,9 @@
         "06-desenvolvimento-seguro:guidelines-de-desenvolvimento-seguro",
         "06-desenvolvimento-seguro:monitorizacao-de-conformidade-e-metricas-de-seguranca",
         "06-desenvolvimento-seguro:perfis-de-validacao-por-nivel-de-risco-l1l3",
-        "06-desenvolvimento-seguro:prompts-e-outputs-de-genai-sob-disciplina-de-codigo",
         "06-desenvolvimento-seguro:proveniencia-e-quality-gate-com-baseline-aprovada",
         "06-desenvolvimento-seguro:rastreabilidade-com-anotacoes-de-seguranca",
         "06-desenvolvimento-seguro:revisao-de-codigo-segura",
-        "06-desenvolvimento-seguro:uso-validado-de-genia",
         "06-desenvolvimento-seguro:validacao-de-padroes-perigosos-e-anti-patterns",
         "06-desenvolvimento-seguro:validacoes-locais-obrigatorias-pre-commit",
         "07-cicd-seguro:agentes-ai-como-principals-na-pipeline-us-19",
@@ -3038,26 +2947,24 @@
         "14-governanca-contratacao"
       ],
       "confidence": null,
-      "description": "Validation Evidence must be produced and retained as auditable evidence for practices such as Definição de critérios de validação, Gestão de Exceções com TTL e Revalidação Obrigatória, Validação de cobertura de testes.",
+      "description": "Validation Evidence must be produced and retained as auditable evidence for practices such as Uso controlado de assistentes automatizados (incluindo IA) no desenvolvimento, Arquivo Central de Evidências de Validação, Automatização em CI/CD (Linters & SAST).",
       "evidence": [
+        "control CTRL-code-integrity-ambiente-e-tooling-de-desenvolvimento-governados-77015fa38a references validation_evidence",
         "control CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460 references validation_evidence",
-        "practice 06-desenvolvimento-seguro:arquivo-central-de-evidencias-de-validacao matched alias 'evidencias'",
-        "corpus document 010-sbd-manual/00-fundamentos/roles-responsabilidades/auditores.md matched aliases ['evidencias']",
-        "corpus document 010-sbd-manual/00-fundamentos/roles-responsabilidades/developer.md matched aliases ['evidencias']",
-        "corpus document 010-sbd-manual/00-fundamentos/roles-responsabilidades/devops-sre.md matched aliases ['evidencias']"
+        "control CTRL-data-protection-criptografia-aplicacional-e-proteccao-de-dados-a4afa5b411 references validation_evidence",
+        "control CTRL-identity-identidade-autenticacao-e-sessoes-aplicacionais-c9d3f51e82 references validation_evidence",
+        "practice 06-desenvolvimento-seguro:arquivo-central-de-evidencias-de-validacao matched alias 'evidencias'"
       ],
       "mandatory": true,
       "requirement_id": "REQ-validation-000",
       "source_control_ids": [
-        "CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460"
+        "CTRL-code-integrity-ambiente-e-tooling-de-desenvolvimento-governados-77015fa38a",
+        "CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460",
+        "CTRL-data-protection-criptografia-aplicacional-e-proteccao-de-dados-a4afa5b411",
+        "CTRL-identity-identidade-autenticacao-e-sessoes-aplicacionais-c9d3f51e82"
       ],
       "source_practice_ids": [
-        "02-requisitos-seguranca:definicao-de-criterios-de-validacao",
-        "02-requisitos-seguranca:gestao-de-excecoes-com-ttl-e-revalidacao-obrigatoria",
-        "02-requisitos-seguranca:validacao-de-cobertura-de-testes",
-        "02-requisitos-seguranca:validacao-de-tags-sec-lx-e-requisitos-no-pipeline",
-        "02-requisitos-seguranca:validacao-e-aprovacao-final",
-        "02-requisitos-seguranca:validacao-por-requisito-dominio-req-xxx-evidencia",
+        "02-requisitos-seguranca:uso-controlado-de-assistentes-automatizados-incluindo-ia-no-desenvolvimento",
         "06-desenvolvimento-seguro:arquivo-central-de-evidencias-de-validacao",
         "06-desenvolvimento-seguro:automatizacao-em-ci-cd-linters-sast",
         "06-desenvolvimento-seguro:gate-de-seguranca-pre-release",